Хакер - Kill them all! Ранжируем ИБ-инструменты Microsoft по Cyber Kill Chain

Хакер - Kill them all! Ранжируем ИБ-инструменты Microsoft по Cyber Kill Chain

hacker_frei

https://t.me/hacker_frei

AK_83

Содержание статьи

  • Результаты сопоставления и приоритизации инструментов по шагам Cyber Kill Chain
  • Разведка (Reconnaissance)
  • Вооружение (Weaponization)
  • Доставка (Delivery)
  • Эксплуатация (Exploitation)
  • Установка (Installation)
  • Управление и контроль (Command and Control)
  • Действия по целям (Actions on Objectives)
  • Подводя итоги

По­чему‑то при­нято счи­тать, что для защиты сер­веров и сетевой инфраструк­туры обя­затель­но при­обре­тать и нас­тра­ивать слож­ные дорогос­тоящие прог­рам­мные про­дук­ты. Вмес­те с тем в арсе­нале Microsoft име­ется мно­жес­тво инс­тру­мен­тов безопас­ности, которые при пра­виль­ной нас­трой­ке прек­расно работа­ют «из короб­ки». Давай раз­берем их в соот­ветс­твии с моделью Cyber Kill Chain.

Мож­но по‑раз­ному отно­сить­ся к про­дук­ции и сер­висам кор­порации Microsoft, но нель­зя не приз­нать, что она пред­лага­ет боль­шой ассорти­мент инс­тру­мен­тов для обес­печения информа­цион­ной безопас­ности как сво­их собс­твен­ных прог­рамм, так и про­дук­тов, соз­дава­емых на их базе. В пер­вую оче­редь сто­ит отме­тить зна­читель­ное количес­тво встро­енных механиз­мов защиты информа­ции в опе­раци­онных сис­темах и кор­поратив­ных про­дук­тах, за которые ты (точ­нее, твой работо­датель) уже зап­латил, но на прак­тике мало исполь­зуешь.

Мы при­вык­ли стро­ить информа­цион­ную защиту с исполь­зовани­ем «внеш­них» средств. Сот­ни и тысячи ком­паний и стар­тапов спе­циали­зиру­ются имен­но на таких тех­ничес­ких решени­ях и про­ектах. При этом мы забыва­ем (на мой взгляд, абсо­лют­но незас­лужен­но) об инс­тру­мен­тах и механиз­мах защиты информа­ции, которые встро­ены в обще­сис­темное и прик­ладное ПО, а так­же о его небезо­пас­ных дефол­тных кон­фигура­циях. Ошиб­ки в нас­трой­ке таких при­ложе­ний «не перек­роют» никакие, даже самые прод­винутые средс­тва.

В этой статье я хочу сис­темати­зиро­вать и при­ори­тизи­ровать инс­тру­мен­ты и механиз­мы защиты информа­ции для in-house кор­поратив­ных IT-инфраструк­тур, пос­тро­енных на про­дук­тах кор­порации Microsoft в соот­ветс­твии с мо­делью Cyber Kill Chain. При рас­ста­нов­ке при­ори­тетов я сде­лаю акцент на раз­рушении цепоч­ки ата­ки на мак­сималь­но ран­ней ста­дии.

Для начала зафик­сиру­ем условную типовую кор­поратив­ную IT-инфраструк­туру:

  • ло­каль­ная Active Directory Domain Services;
  • сер­верные опе­раци­онные сис­темы: Windows Servers 2016 и выше;
  • кли­ент­ские опе­раци­онные сис­темы: Windows 10;
  • кли­ент­ский веб‑бра­узер: Microsoft Edge;
  • поч­товые сер­веры: Exchange Server 2016 и выше.

Ты навер­няка стал­кивал­ся с такими IT-инфраструк­турами, пос­коль­ку в нашей стра­не их дос­таточ­но мно­го. Сво­евре­мен­ный хар­денинг в таких инфраструк­турах, которо­му уже уде­лялось вни­мание в дру­гих пуб­ликаци­ях на «Хакере», сей­час не фоновая задача, а одна из пер­вооче­ред­ных. В том чис­ле при­нимая во вни­мание, что с рын­ка ушли некото­рые средс­тва защиты информа­ции.

Рас­смат­рива­емые инс­тру­мен­ты и механиз­мы информа­цион­ной безопас­ности я раз­делю на две груп­пы. Пер­вая груп­па — это условно «пас­сивные» (детек­тиру­ющие) инс­тру­мен­ты, которые могут обна­ружить подоз­ритель­ную активность или инци­дент и уве­домить о них поль­зовате­ля. Вто­рая — условно «активные» (реаги­рующие) инс­тру­мен­ты, которые могут пре­дот­вра­тить кон­крет­ные дей­ствия (нап­ример, зап­ретить или заб­локиро­вать их). Они в сос­тоянии сок­ратить пло­щадь ата­ки, могут скор­ректи­ровать дей­ствия субъ­екта дос­тупа или сам объ­ект дос­тупа (к при­меру, изо­лиро­вать или перемес­тить его) либо ком­пенси­ровать кон­крет­ные дей­ствия — усложнить усло­вия дос­тупа, зат­ребовать допол­нитель­ные под­твержда­ющие дей­ствия и так далее. Такое деление поз­волит избе­жать иллю­зии того, что прос­то ведение жур­налов регис­тра­ции событий (вклю­чение тобой ауди­та) физичес­ки или логичес­ки может помешать ата­кующе­му выпол­нить активное несан­кци­они­рован­ное дей­ствие.

РЕЗУЛЬТАТЫ СОПОСТАВЛЕНИЯ И ПРИОРИТИЗАЦИИ ИНСТРУМЕНТОВ ПО ШАГАМ CYBER KILL CHAIN

Разведка (Reconnaissance)

  • Цель ата­кующе­го: соб­рать информа­цию о целях ата­ки
  • Цель защища­юще­гося: сок­ратить прос­транс­тво для раз­ведки и пло­щадь для ата­ки

Нап­равле­ниями раз­ведки в пер­вую оче­редь ста­новят­ся люди (работ­ники, под­рядчи­ки, кли­енты) и IT-инфраструк­туры, отно­сящи­еся к цели ата­ки. Исходны­ми дан­ными зачас­тую выс­тупа­ет толь­ко наз­вание орга­низа­ции, отдель­но взя­тый веб‑сайт, кон­крет­ная сис­тема. Ата­кующе­му дос­тупны раз­ные методы сбо­ра информа­ции: от обще­дос­тупных источни­ков и соци­аль­ной инже­нерии до исполь­зования спе­циаль­ных сер­висов и инс­тру­мен­тов.

«Пассивные» инструменты

  • Вклю­чить аудит Microsoft Defender Firewall (pfirewall.log). Это необ­ходимо сде­лать в свя­зи с тем, что по умол­чанию аудит Microsoft Defender Firewall отклю­чен.

«Активные» инструменты

  • Ис­поль­зовать бран­дма­уэр в Microsoft Defender. Отклю­чить (бло­киро­вать) все неис­поль­зуемые пор­ты и вхо­дящие соеди­нения, что­бы сок­ратить пло­щадь ата­ки и прос­транс­тво для сетевой раз­ведки.
  • Ог­раничить раз­решения для веб‑сай­тов в Microsoft Edge в час­ти сбо­ра дан­ных о рас­положе­нии поль­зовате­ля. Вклю­чить «Зап­рос перед дос­тупом» (Ask before accessing), что­бы умень­шить веро­ятность рас­кры­тия дан­ных ата­кующе­му в ходе раз­ведки.
  • Ог­раничить уда­лен­ные вызовы к Security Account Manager (SAM). Сок­ратить воз­можнос­ти эну­мера­ции поль­зовате­лей и групп в локаль­ной базе SAM и Active Directory в ходе раз­ведки. По умол­чанию параметр «Сетевой дос­туп: огра­ничить дос­туп кли­ентов, которым раз­решены уда­лен­ные вызовы SAM» (Network access: Restrict clients allowed to make remote calls to SAM) нас­тро­ен сле­дующим обра­зом: для более ста­рых опе­раци­онных сис­тем про­вер­ка дос­тупа не выпол­няет­ся, для более новых пре­дос­тавля­ется дос­туп толь­ко чле­нам встро­енной груп­пы «Адми­нис­тра­торы» (BUILTIN\Administrators).
  • Ог­раничить поль­зовате­лям, про­шед­шим про­вер­ку, исполь­зование NetSessionEnum. Сок­ратить воз­можнос­ти эну­мера­ции сес­сий для опре­деле­ния узлов, где поль­зователь­ские и сер­висные учет­ные записи были залоги­нены. Это необ­ходимо потому, что по умол­чанию про­шед­шим про­вер­ку (Authenticated Users) поль­зовате­лям раз­решено при­менять метод NetSessionEnum.

Вооружение (Weaponization)

  • Цель ата­кующе­го: под­готовить вре­донос­ное ПО 
  • Цель защища­юще­гося: улы­бать­ся и махать обес­печить орга­низа­цион­ную и тех­ничес­кую готов­ность к пос­леду­ющим ста­диям ата­ки

Ата­кующе­му дос­тупно нес­коль­ко вари­антов под­готов­ки «воору­жения»: самос­тоятель­но раз­работать с нуля, вос­поль­зовать­ся обще­дос­тупны­ми инс­тру­мен­тами (бес­плат­ными ути­лита­ми, опен­сор­сны­ми инс­тру­мен­тами, сли­тыми при­ложе­ниями), пре­обра­зовать обще­дос­тупные инс­тру­мен­ты (дорабо­тать скрип­ты или модули, «пере­упа­ковать» ути­литы) и, конеч­но же, купить их. Реаль­ным огра­ниче­нием выс­тупа­ет толь­ко дос­тупный зло­умыш­ленни­ку бюд­жет.

На прак­тике спе­циалис­ты по защите информа­ции не могут серь­езно вли­ять на ата­кующе­го за пре­дела­ми под­кон­троль­ной им IT-инфраструк­туры. Тут мож­но пореко­мен­довать быть в кур­се сов­ремен­ных тен­денций в сфе­ре раз­работ­ки и при­мене­ния вре­донос­ного ПО (для это­го дос­таточ­но регуляр­но читать «Хакер»), а так­же сос­редото­чить­ся на соз­дании и под­держа­нии орга­низа­цион­ных и тех­ничес­ких усло­вий, необ­ходимых для работы спе­циалис­тов по защите информа­ции.

Доставка (Delivery)

  • Цель ата­кующе­го: дос­тавить под­готов­ленное вре­донос­ное ПО в IT-инфраструк­туру, отно­сящу­юся к цели ата­ки, обхо­дя средс­тва защиты информа­ции
  • Цель защища­юще­гося: сок­ратить пути и веро­ятность успешной дос­тавки вре­донос­ного ПО 

Ата­кующе­му дос­тупно нес­коль­ко каналов дос­тавки, вклю­чая элек­трон­ную поч­ту, съем­ные носите­ли информа­ции, веб‑сайт (в том чис­ле watering hole), а так­же клас­сичес­кая экс­плу­ата­ция уяз­вимос­тей сер­висов и ресур­сов, рас­положен­ных в ата­куемом перимет­ре. Сто­ит отме­тить, что прак­тичес­ки все вари­анты ата­ки в той или иной мере реали­зуют­ся с исполь­зовани­ем соци­аль­ной инже­нерии.

«Пассивные» инструменты

  • Вклю­чить аудит Microsoft Defender SmartScreen — в свя­зи с тем, что по умол­чанию аудит (Windows event log) для SmartScreen отклю­чен.
  • Вклю­чить аудит для поч­товых ящи­ков в Exchange Server — по умол­чанию дей­ствия, выпол­няемые вла­дель­цем поч­тового ящи­ка, не регис­три­руют­ся (аудит отклю­чен).

«Активные» инструменты

  • Ис­поль­зовать филь­тр SmartScreen в Microsoft Defender. Это поз­волит сок­ратить посеще­ние потен­циаль­но опас­ных веб‑сай­тов, а так­же заг­рузку вре­донос­ных или нежела­тель­ных при­ложе­ний.
  • Вклю­чить агент защиты от нежела­тель­ной поч­ты (Antispam agent). Это поз­волит сок­ратить потен­циаль­ные источни­ки нежела­тель­ных или вре­донос­ных писем. Агент защиты от нежела­тель­ной поч­ты дос­тупен для Exchange 2016 и Exchange 2019, но по умол­чанию он не уста­нов­лен.
  • Ис­поль­зовать (нас­тро­ить) анти­вирус­ный поч­товый агент (Malware agent). Сок­ратит воз­можнос­ти дос­тавки вре­донос­ного ПО на целевой хост через пись­ма. Отме­чу, что по умол­чанию анти­вирус­ный поч­товый агент вклю­чен и дефол­тное дей­ствие — уда­ление сооб­щения (эту нас­трой­ку в некото­рых слу­чаях нуж­но под­тюнить).
  • Ог­раничить исполь­зование неав­торизо­ван­ных внеш­них устрой­ств. Это сок­раща­ет воз­можнос­ти дос­тавить вре­донос­ное ПО на целевой хост через внеш­ние устрой­ства.
  • От­клю­чить авто­запуск (Autorun и AutoPlay) для внеш­них устрой­ств. Тут ком­мента­риев не тре­бует­ся: наз­начение это­го дей­ствия впол­не оче­вид­но.
  • Вклю­чить Windows Sandbox. Поз­волит изо­лиро­вать потен­циаль­но вре­донос­ное ПО и сок­ратить воз­можнос­ти дос­тавить его на целевой хост.
  • Вклю­чить Application Guard в Microsoft Defender. Поможет изо­лиро­вать недове­рен­ные веб‑сай­ты и фай­лы.

Эксплуатация (Exploitation)

  • Цель ата­кующе­го: получить дос­туп на опре­делен­ный хост с дос­таточ­ными пра­вами для уста­нов­ки бэк­дора
  • Цель защища­юще­гося: сок­ратить вари­анты и веро­ятность получить несан­кци­они­рован­ный дос­туп

Ата­кующий может исполь­зовать все вари­анты добычи кре­дов (guessing, cracking и дру­гие), перепол­нение буфера (buffer overflow), ата­ки «человек посере­дине» (man in the middle) и, конеч­но же, соци­аль­ную инже­нерию. Хотя Cyber Kill Chain опи­сыва­ет цель это­го эта­па имен­но как уста­нов­ку бэк­доров, в реаль­нос­ти сущес­тву­ют и дру­гие вари­анты раз­вития событий. Но мы будем при­дер­живать­ся пред­ложен­ной нам модели.

«Пассивные» инструменты

  • Вклю­чить Advanced Audit Policy (осо­бен­но Account Management, Policy Change, Privilege Use, System).
  • Вклю­чить аудит Lsass.exe.
  • Ис­поль­зовать System Monitor (Sysmon) (под­робнос­ти ты можешь про­читать в статье «Sysmon для безопас­ника»).

«Активные» инструменты

  • Вклю­чить монитор паролей (Password monitor) в Microsoft Edge. Это сок­ратит ата­кующе­му воз­можнос­ти исполь­зовать утек­шие пароли поль­зовате­лей (про­вер­ка паролей, сох­ранен­ных в веб‑бра­узе­ре).
  • Ис­поль­зовать дис­петчер паролей (Password manager) в Microsoft Edge. Этот шаг поз­волит избе­жать кра­жи паролей поль­зовате­лей, вышед­ших из опе­раци­онной сис­темы.
  • Ис­поль­зовать Local Administrator Password Solution (LAPS) для хра­нения паролей локаль­ных учет­ных записей опе­раци­онной сис­темы. Сок­раща­ет воз­можнос­ти украсть пароли от локаль­ных учет­ных записей.
  • От­клю­чить адми­нис­тра­тив­ный авто­мати­чес­кий вход в кон­соль вос­ста­нов­ления. Необ­ходимо, что­бы исклю­чить воз­можность авто­лого­на для ата­кующе­го (без вво­да пароля). По умол­чанию параметр «Кон­соль вос­ста­нов­ления: раз­решить авто­мати­чес­кий вход адми­нис­тра­тора» (Recovery Console: Allow automatic administrative logon) вклю­чен.
  • От­клю­чить или пере­име­новать встро­енную учет­ную запись адми­нис­тра­тора (Administrator). Сок­раща­ет воз­можнос­ти ком­про­мета­ции учет­ных записей, в том чис­ле с исполь­зовани­ем брут­форса.
  • От­клю­чить все неис­поль­зуемые учет­ные записи. Сни­жает воз­можность ком­про­мета­ции учет­ных записей, в том чис­ле с исполь­зовани­ем брут­форса извес­тных ата­кующе­му уче­ток.
  • Не выводить имя пос­ледне­го вхо­див­шего в опе­раци­онную сис­тему поль­зовате­ля. Сок­раща­ет воз­можнос­ти ком­про­мета­ции учет­ных записей, в том чис­ле брут­форса «под­све­чен­ной» сис­темой учет­ной записи. По умол­чанию параметр «Инте­рак­тивный вход в сис­тему: не отоб­ражать све­дения о пос­леднем вхо­де в сис­тему» (Interactive logon: Do not display last user name) вык­лючен.
  • От­клю­чить исполь­зование Microsoft-акка­унтов для Windows. Огра­ничи­вает воз­можность ком­про­мета­ции сис­темы за счет исполь­зования «под­ломлен­ных» в дру­гом мес­те учет­ных записей. По умол­чанию параметр «Учет­ные записи: бло­киро­вание учет­ных записей Microsoft» («Accounts: Block Microsoft accounts») не опре­делен для сер­веров кон­трол­леров домена и вык­лючен для рядовых сер­веров и кли­ент­ских компь­юте­ров.
  • Зап­ретить адми­нис­тра­торам домена (Domain Admins и Enterprise Admins) вхо­дить на кли­ент­ские компь­юте­ры и рядовые сер­веры (исклю­чение: сер­веры кон­трол­леров домена). Это поз­воля­ет сок­ратить воз­можнос­ти ком­про­мета­ции учет­ных записей, в том чис­ле с при­мене­нием атак pass the hash.
  • Вклю­чить Windows Defender Credential Guard. Смысл этой нас­трой­ки пол­ностью ана­логи­чен пре­дыду­щему пун­кту.
  • Ог­раничить вре­мя хра­нения сес­сион­ных дан­ных для Local Security Authority Server Service (LSASS). Лиша­ет зло­умыш­ленни­ков воз­можнос­ти украсть пароли из памяти хос­та. По умол­чанию очис­тка сес­сион­ных дан­ных не выпол­няет­ся (logon session credentials).
  • Вклю­чить защиту Local Security Authority (LSA). Сок­раща­ет воз­можнос­ти инъ­екций кода для кра­жи паролей из памяти хос­та. Отме­чу, что по умол­чанию для Windows RT 8.1 защита lsass.exe всег­да вклю­чена и не может быть отклю­чена.
  • От­клю­чить хра­нение пре­дыду­щих логонов в кеше. Сок­раща­ет воз­можнос­ти кра­жи кре­дов из кеша хос­та. Эту нас­трой­ку рекомен­дует­ся исполь­зовать толь­ко в слу­чае край­ней необ­ходимос­ти (нап­ример, при наличии явных исклю­чений, на устрой­ствах для коман­дировок, в изо­лиро­ван­ных сег­ментах сети). По умол­чанию параметр «Инте­рак­тивный вход в сис­тему: количес­тво пре­дыду­щих под­клю­чений к кешу (в слу­чае отсутс­твия дос­тупа к кон­трол­леру домена)» (Interactive logon: Number of previous logons to cache (in case domain controller is not availabl) для рядовых сер­веров и кли­ент­ских компь­юте­ров допус­кает десять логонов.
  • Вклю­чить полити­ку Debug Program. Поз­воля­ет избе­жать кра­жи паролей с исполь­зовани­ем Mimikatz и дру­гих подоб­ных инс­тру­мен­тов. По умол­чанию пра­ва на исполь­зование режима отладки пре­дос­тавле­ны встро­енной груп­пе «Адми­нис­тра­торы» (BUILTIN\Administrators).
  • Вклю­чить AES для Kerberos. Сни­жает веро­ятность кра­жи кре­дов, а имен­но Kerberoasting. По умол­чанию параметр «Сетевая безопас­ность: нас­трой­ка типов шиф­рования, раз­решен­ных Kerberos» (Network security: Configure encryption types allowed for Kerberos) под­держи­вает RC4.
  • От­клю­чить переда­чу паролей в откры­том виде сто­рон­ним SMB-сер­верам. Пре­дот­вра­щает перех­ват кре­дов при переда­че по сети. По умол­чанию параметр «Кли­ент сети Microsoft: отправ­лять незашиф­рован­ный пароль сто­рон­ним SMB-сер­верам» (Microsoft network client: Send unencrypted password to connect to third-party SMB servers) не опре­делен для сер­веров кон­трол­леров домена и вык­лючен для рядовых сер­веров и кли­ент­ских компь­юте­ров.
  • Вклю­чить циф­ровую под­пись сооб­щений для Microsoft кли­ент­ских компь­юте­ров. Сок­раща­ет воз­можнос­ти для атак типа man in the middle. По умол­чанию параметр «Кли­ент сети Microsoft: исполь­зовать циф­ровую под­пись (всег­да)» (Microsoft network client: Digitally sign communications (always)) для кли­ент­ских компь­юте­ров отклю­чен.
  • Вклю­чить циф­ровую под­пись сооб­щений для сер­веров Microsoft. Сок­раща­ет воз­можнос­ти для атак типа man in the middle. По умол­чанию параметр «Сер­вер сети Microsoft: исполь­зовать циф­ровую под­пись (всег­да)» (Microsoft network server: Digitally sign communications (always)) для рядовых сер­веров отклю­чен.
  • Вклю­чить тре­бова­ние циф­ровой под­писи для LDAP-сер­вера. То же, что и в пре­дыду­щих двух пун­ктах. По умол­чанию параметр «Кон­трол­лер домена: тре­бова­ние циф­ровой под­писи для LDAP-сер­вера» (Domain controller: LDAP server signing requirements) не опре­делен для сер­веров кон­трол­леров домена.
  • Вклю­чить Exploit Guard полити­ки в Windows Defender. Луч­ше вклю­чить бло­киров­ку (Block) для сок­ращения век­торов атак, исполь­зующих Office-при­ложе­ния, скрип­ты и вре­донос­ное ПО, внеш­ние устрой­ства и дру­гие подоб­ные век­торы.
  • Вклю­чить авто­обновле­ния опе­раци­онной сис­темы, но с их обя­затель­ным пред­варитель­ным тес­тирова­нием. Это поз­волит сок­ратить воз­можнос­ти экс­плу­ата­ции извес­тных уяз­вимос­тей.

Установка (Installation)

  • Цель ата­кующе­го: уста­новить бэк­дор для вза­имо­дей­ствия с C&C-сер­верами
  • Цель защища­юще­гося: сок­ратить вари­анты и веро­ятность уста­новить бэк­дор

Ата­кующий может добавить бэк­дор в спи­сок прог­рамм, которые заг­ружа­ются при запус­ке опе­раци­онной сис­темы, а так­же модифи­циро­вать биб­лиоте­ки, которые заг­ружа­ются при запус­ке опе­раци­онной сис­темы.

«Пассивные» инструменты

  • Вклю­чить Advanced Audit Policy (осо­бен­но Detailed Tracking).
  • Ис­поль­зовать Sysmon.

«Активные» инструменты

  • Бло­киро­вать потен­циаль­но нежела­тель­ные при­ложе­ния с исполь­зовани­ем Microsoft Edge (отно­сит­ся к филь­тру SmartScreen в Microsoft Defender). Усложня­ет ата­кующе­му уста­нов­ку нежела­тель­ных при­ложе­ний. По умол­чанию бло­киров­ка потен­циаль­но нежела­тель­ных при­ложе­ний отклю­чена.
  • Ис­поль­зовать User Account Control (UAC). UAC — такая себе защита, но луч­ше, если она будет вклю­чена.
  • Вклю­чить полити­ку Windows Defender Application Control (WDAC) или исполь­зовать AppLocker. Сок­раща­ет количес­тво драй­веров и при­ложе­ний, раз­решен­ных для запус­ка на хос­тах (ины­ми сло­вами — умень­шает пло­щадь ата­ки).

Управление и контроль (Command and Control)

  • Цель ата­кующе­го: соз­дать скры­тый канал ком­муника­ции меж­ду хос­том‑жер­твой и C&C-сер­верами
  • Цель защища­юще­гося: сок­ратить вари­анты и веро­ятность успешно­го вза­имо­дей­ствия с C&C-сер­верами

Ата­ка может раз­вивать­ся по раз­ным нап­равле­ниям, которые зависят от осо­бен­ностей кон­крет­ной IT-инфраструк­туры. Зло­умыш­ленни­ки могут исполь­зовать тун­нелиро­вание, соци­аль­ные сети и дру­гие методы ком­муника­ции.

«Пассивные» инструменты

  • Вклю­чить аудит Microsoft Defender Firewall.
  • Вклю­чить Advanced Audit Policy (осо­бен­но Detailed Tracking).
  • Ис­поль­зовать Sysmon (осо­бен­но Event ID 3: Network connection, Event ID 22: DNSEvent).

«Активные» инструменты

  • Ис­поль­зовать бран­дма­уэр в Microsoft Defender. Отклю­чить (бло­киро­вать) все неис­поль­зуемые пор­ты для сок­ращения вари­антов сетевой ком­муника­ции с ата­кующим.

Действия по целям (Actions on Objectives)

  • Цель ата­кующе­го: дос­тичь цели ата­ки или перей­ти на новый виток цепоч­ки ата­ки
  • Цель защища­юще­гося: миними­зиро­вать ущерб, сок­ратить вари­анты и веро­ятность перей­ти на новый виток цепоч­ки ата­ки

Мо­жет показать­ся, что, если ата­ка завер­шилась успе­хом, уже поз­дно пить бор­жоми. Но и здесь мы можем и дол­жны соз­дать труд­ности для ата­кующе­го, которо­му дос­тупны методы, огра­ничен­ные воз­можнос­тями его цен­тра управле­ния и уров­нем получен­ного дос­тупа. На новом вит­ке ата­кующий может:

  • за­нять­ся внут­ренним ска­ниро­вани­ем сети;
  • ис­поль­зовать уяз­вимос­ти в опе­раци­онной сис­теме, что­бы повысить при­виле­гии или зах­ватить новый узел (EternalBlue, BlueKeep);
  • соз­дать новые учет­ные записи с нуж­ными при­виле­гиями;
  • соз­дать вре­мен­ные учет­ные записи для выпол­нения каких‑либо дес­трук­тивных дей­ствий в сис­теме;
  • из­менить при­виле­гии сущес­тву­ющих учет­ных записей.

«Пассивные» инструменты

  • Вклю­чить Advanced Audit Policy (осо­бен­но Object Access).
  • Вклю­чить аудит для поч­товых ящи­ков в Exchange Server.
  • Ис­поль­зовать Sysmon.

«Активные» инструменты

  • Раз­гра­ничить дос­туп к дан­ным, исполь­зуя механиз­мы Discretionary access control list (DACL) и/или Dynamic Access Control (DAC). Поз­воля­ет сок­ратить воз­можнос­ти нежела­тель­ного, слу­чай­ного или несан­кци­они­рован­ного дос­тупа к дан­ным на хос­тах.
  • Зап­ретить ано­ним­ный дос­туп к любым общим ресур­сам. То же, что и в пре­дыду­щем слу­чае. По умол­чанию параметр «Сетевой дос­туп: раз­решать ано­ним­ный дос­туп к общим ресур­сам» (Network access: Shares that can be accessed anonymously) не опре­делен.
  • Ис­поль­зовать Microsoft Endpoint data loss prevention (Endpoint DLP). Сок­ратить воз­можнос­ти нежела­тель­ной, слу­чай­ной или несан­кци­они­рован­ной переда­чи дан­ных (эксфиль­тра­ции).
  • Ис­поль­зовать (нас­тро­ить полити­ки) DLP в Exchange Server. Смысл этой нас­трой­ки ана­логи­чен пре­дыду­щему пун­кту.
  • Вклю­чить под­дер­жку Windows Information Protection (WIP) в Microsoft Edge. Сни­жает веро­ятность слу­чай­но рас­крыть дан­ные.
  • Зап­ретить сетевой вход для всех локаль­ных адми­нис­тра­торов. Сок­раща­ет воз­можнос­ти горизон­таль­ного переме­щения ата­кующе­го в инфраструк­туре сети.
  • От­клю­чить воз­можнос­ти пот­ребите­ля Microsoft. Сни­жает веро­ятность нежела­тель­ной переда­чи дан­ных (эксфиль­тра­ции). По умол­чанию адми­нис­тра­тив­ный шаб­лон «Вык­лючить воз­можнос­ти пот­ребите­ля Microsoft» (Turn off Microsoft consumer experience) не нас­тро­ен, но при­ложе­ния и пред­ложения треть­их сто­рон пре­дос­тавля­ются сис­теме. Исполь­зуй эту нас­трой­ку толь­ко на кри­тичес­ки важ­ных хос­тах.
  • От­клю­чить сбор диаг­ности­чес­ких дан­ных. Име­ет смысл исполь­зовать нас­трой­ку «Диаг­ности­чес­кие дан­ные отклю­чены (безопас­ность)» (Diagnostic data off (Security)) для пре­дот­вра­щения нежела­тель­ной переда­чи дан­ных. По умол­чанию параметр «Обя­затель­ные диаг­ности­чес­кие дан­ные (базовые)» (Required diagnostic data (Basic)) не нас­тро­ен. Исполь­зуй эту воз­можность толь­ко на кри­тичес­ки важ­ных хос­тах.
  • Ис­поль­зовать BitLocker. Шиф­рование пре­дот­вра­щает кра­жу дан­ных с уте­рян­ных, укра­ден­ных или неп­равиль­но выведен­ных из экс­плу­ата­ции компь­юте­ров.
  • От­клю­чить воз­можность завер­шить работу сис­темы без вхо­да в опе­раци­онную сис­тему. Пре­дот­вра­щает вре­мен­ный отказ в обслу­жива­нии для кли­ент­ских компь­юте­ров. По умол­чанию параметр «Завер­шение работы: раз­решить завер­шение работы сис­темы без выпол­нения вхо­да в сис­тему» (Shutdown: Allow system to be shut down without having to log on) для кли­ент­ских компь­юте­ров вклю­чен. 

ПОДВОДЯ ИТОГИ

Боль­шей частью рас­смот­ренных здесь инс­тру­мен­тов и механиз­мов защиты информа­ции мож­но цен­тра­лизо­ван­но управлять через груп­повые полити­ки (Group Policy) или PowerShell-коман­длет. Допол­нитель­но могут исполь­зовать­ся отдель­ные решения:

  • Microsoft Sentinel;
  • Microsoft Endpoint Manager;
  • Microsoft Advanced Threat Analytics.

Ес­ли нет воз­можнос­ти дви­гать­ся по таб­лице шаг за шагом и тре­бует­ся допол­нитель­ная при­ори­тиза­ция, я бы выделил как глав­ные сле­дующие дей­ствия:

  • сде­лать все, что отно­сит­ся к защите паролей и кре­дов (credentials);
  • «вык­рутить» на мак­симум Windows Defender (осо­бен­но, если это твое единс­твен­ное хос­товое решение клас­са AV/HFW/EDR);
  • вклю­чить аудит событий в час­ти Advanced Audit Policy.

Ко­неч­но, в рам­ках одной статьи нель­зя охва­тить все инс­тру­мен­ты и механиз­мы защиты информа­ции. Пред­ложен­ный спи­сок может (и дол­жен) рас­ширять­ся и уточ­нять­ся. При этом важ­но пом­нить, что пред­варитель­ное тес­тирова­ние и «нережу­щий режим» (условно audit mode) для пред­ложен­ных инс­тру­мен­тов — это обя­затель­ные мероп­риятия в каж­дой кон­крет­ной IT-инфраструк­туре, с уче­том нюан­сов работы тво­их сис­тем и осо­бен­но legacy-при­ложе­ний.

Ес­ли же все‑таки тебе не уда­лось сво­евре­мен­но обна­ружить и локали­зовать инци­дент информа­цион­ной безопас­ности, в резуль­тате чего инфраструк­туре был нанесен ущерб (то есть дан­ные или сис­темы пос­тра­дали), нужен понят­ный и рабочий «план Б».

В таком печаль­ном слу­чае у нас есть условно два основных вари­анта:

  • вос­ста­новить нас­трой­ки по умол­чанию и сно­ва прой­тись по спис­ку;
  • вос­ста­новить­ся, исполь­зуя gold image или акту­аль­ную резер­вную копию.

Важ­но не забыть перекон­фигури­ровать инс­тру­мен­ты в рам­ках всей под­кон­троль­ной IT-инфраструк­туры, при­нимая во вни­мание исполь­зован­ную ата­кующим уяз­вимость. При этом сло­во «уяз­вимость» нуж­но понимать в широком смыс­ле, то есть сле­дует испра­вить небезо­пас­ную кон­фигура­цию, а не прос­то ждать оче­ред­ного обновле­ния соф­та.

Читайте ещё больше платных статей бесплатно: https://t.me/hacker_frei



Report content on this page

Report Page

Please submit your DMCA takedown request to dmca@telegram.org