چرا تهدید داخلی در یک سازمان بسیار خطرناک‌تر از یک هکر است؟

پیش از شروع باید روشن کنیم که منظور از تهدید داخلی چیست؟ به هر پرسنل داخلی یک شبکه که از دسترسی خود برای اهداف مخرب استفاده کند، تهدید داخلی گفته می‌شود. تهدید داخلی می‌تواند دادن نام کاربری و کلمه عبور سرورها یا وی‌پی‌ان شبکه به هکرها باشد یا خود شخص سبب نشت اطلاعات یا تخریب باشد. وقتی به تاریخچه هک‌های با پیامدهای بزرگ نگاه بیاندازیم، اسم شرکت‌های تسلا، ورایزون، Nvidia، وودافون، یوبی‌سافت، سامسونگ و حتی زیرساخت‌های ایران که توسط گروه Indra مورد حمله قرار گرفت و در آخر مهم‌ترین حمله سایبری تاریخ استاکس‌نت را خواهیم دید که همگی Initial Access توسط تهدید داخلی بوده است.

Security Gaps چیست؟ گپ‌های امنیتی در واقع بخش‌های از نواقص هستند که هکرها می‌توانند از آن‌ها سوء استفاده کنند و عملیات‌های غیر مجاز انجام دهند. مثل شنود، دور زدن مکانیسم‌های امنیتی، اجرای بدافزار و … گنگ های باج‌گیر در چند سال اخیر شروع به اجیر کردن تهدیدهای داخلی و خرید دسترسی از کارمندان کرده اند. همان طور که می‌دانید بسیاری از تنظیمات امنیتی دیسک ذخیره اطلاعات NTFS Permission با دسترسی فیزیکی قابل بایپس هستند، حتی Bitlocker امکان دور خوردن توسط دسترسی فیزیکی را دارد.

هکرها برای نفوذ 0 تا 100 از چه ابزارهای نرم افزاری و سخت افزاری استفاده می کنند؟

Cyber Kill Chain, Mitre Attack و … همگی مراحل شناسایی نفوذ و استخراج اطلاعات را نمایش می‌دهند. تهدید داخلی از مرحله Delivery شروع به کار می کند. همچنین یک فرد داخل سازمانی امکان رفت و آمد به بخش‌های مختلف، گوش دادن به حرف افراد، دیدن صفحه‌ی مانیتورها، دیدن تایپ کلمات عبور و حتی بردن گوشی هوشمند یا حتی لپ‌تاپ را دارد. عدم وجود Defense in Depth، امکان ضربه زدن به شبکه‌های Enterprise از طریق یک کارمند را فراهم می کند.

Reconnaissance

جمع‌آوری اطلاعات به صورت مستقیم و غیر مستقیم به منظور درخواست شما، مستقیم به سرور هدف یا استفاده از API یا سایت‌های واسط می باشد. همچنین بخشی از اطلاعات در آرشیو و Cache موتورهای جستجو وجود دارد ولی در کل همه این فرآیندها OSINT نام دارد. عمده این بخش نرم‌افزاری معمولا فرآیندها به صورت دستی یا با استفاده از فریم‌ورکهای Recon مثل Maltego ,spiderfoot ,datasploit ,recon-ng … انجام می‌شود.

نکته: بعد از جمع‌آوری هر اطلاعاتی، هکر باید آن را راستی آزمایی (True یا False) کند و همچنین باید به کشف آسیب‌پذیری یا سناریو Pretexting برای پیاده‌سازی حمله مهندسی اجتماعی برسد.

اگر هکر Insider threat نباشد باید از گیت فیزیکی رد شود که نیازمند مهندسی اجتماعی است و البته بخش اعظم کار مهندسی اجتماعی و استفاده از Clone Security Badge هست که کار بسیار سختی در اماکن Enterprise است. به سرقت بردن کارت‌های امنیتی، کلون گرفتن با Proxmark3 و روش Tailgating برای عبور از بخش حفاظت، سخت‌ترین بخش یک هکر هست. به محض ورود به ساختمان اصلی، ادامه کار از Delivery انجام می شود. وجود گپ‌های امنیتی، ورود فیزیکی به شبکه‌ها را راحت و دستکاری را برای هکرها میسر می کنند. البته بعد از شیوع کرونا، به خاطر محدودیت‌های فیزیکی، هکرها عمدتا از طریق Phishing به سازمان‌ها نفوذ می‌کنند. گاهی هکرها برای نفوذ به یک سازمان، از روش مهندسی اجتماعی بر روی کارکنان و کارمندان یک سازمان با برقراری یک رابطه کاری، دوستی، عاطفی و ورود به محل زندگی و هک کردن سیستم های قربانی یا حتی گوشی او و نصب بدافزار انجام می دهند.

Weaponize

خودکار کردن فرآیند اکسپلویت یک آسیب‌پذیری که امکان اجرا شدن روی سیستم عامل‌ها رو داشته باشد، مثلا اکسپلویت آفیس، اکسپلویت ادوبی و غیره. اگر در خودکار کردن از آسیب پذیری‌ای که روی بیشترین تعداد سخت افزار و نرم افزار اجرا می‌شود (مثل مرورگرها، وب‌کیت اندروید و IOS) استفاده شود، آن زمان in the wild (ITW) است. که اکثر APTها از این‌گونه اکسپلویت‌ها استفاده می‌کنند. معمولا هکرها از ماکروها (مثل اکسپلویت آفیس) استفاده می‌کنند، البته بعد از خبر بسته شدن ماکرو از روش‌های جایگزین استفاده می‌شود.

Delivery

روش انتقال اکسپلویت به سیستم‌های قربانی مانند فیشینگ، وب سایت‌های معتبر هک شده و استفاده از USB. از جمله نرم افزارهایی که برای راه اندازی کمپین فیشینگ استفاده می‌شود می‌‎توان Gophish, kingphisher را نام برد. سخت‌افزارهایی که در حملات استفاده می‌شوند عمدتا در قالب فلش مموری هستند و می‌توان rubberducky, bashbunny, sharkjack را نام برد. در واقع این فلش‌ها به عنوان کیبورد و ماوس یا کارت شبکه به سیستم عامل معرفی می‌شوند و به هکر امکان بایپس لاگین اسکرین، استخراج اطلاعات، Reverse Shell و … را فراهم می‌کنند. سخت‌افزارهای نام برده را می توان با Arduino به صورت شخصی سازی شده ساخت.

نکته: هر 0day یک تاریخ مصرف دارد، ولی اشتباه انسانی نه. برای همین 90% Initial Access از طریق فیشینگ انجام می شود.

Exploitation

بروت فورس، اکسپلویت آسیب پذیری سیستم عامل (سرور، کلاینت و شبکه)، وب، موبایل و اینترنت اشیا. هر چقدر شرکت بزرگ‌تر باشد سرویس‌های وب بیشتری دارد و امکان وجود آسیب‌پذیری یا عدم بروزرسانی در بخشی از آن‌ها بسیار بالاتر است. گاهی سازمان‌ها از داخل هک نشده‌اند و از طریق بخش فروش یا شرکت های واسط که دارای پنل های ورود به شبکه هستند برای فروش محصولات هک شده اند و این اعتماد ما بین شرکت‌ها و شرکت‌های شخص ثالث آسیب پذیر نقطه ورود بسیاری از هکرها بوده است.

در برخی شبکه‌ها به دلیل عدم رعایت نکات امنیتی، شبکه وایرلس با شبکه اصلی در یک VLAN قرار دارد و در صورت نفوذ به آن، امکان دسترسی به سرور و سیستم‌ها نیز وجود دارد. از جمله سخت‌افزارهایی که مورد استفاده قرار می گیرند Alpha network Adapter و Wifi Pineapple را می‌توان نام برد. در بخش جمع‌آوری اطلاعات گاهی هکرها از شنود ارتباطات بی‌سیمی توسط سخت‌افزارهای Hacker One استفاده می کنند. همچنین حملات Side Channel برای استخراج اطلاعات از نور، صدا، گرما و مصرف برق می‌تواند برخی اطلاعات را جهت نفوذ به هکرها بدهد، اما نیازمند دسترسی فیزیکی هستند.

یکی از روش هایی که هکرها برای رسیدن به High Profile Target ها استفاده می کنند استفاده از حملات مخابراتی برای بدست آوردن SMS های افراد مهم هست یا شنود مکالمات پیاده سازی حملات IMSI Catcher(فیک BTS شنود GSM) و  SS7 (شنود SMS) یا حتی Sim swapping(بدست آوردن سیم کارت قربانی برای جازدن و دور زدن 2Fa)  نیازمند هزینه زیادی هستند. همچنین در کنار چنین حمله هایی استفاده از روش های مهندسی اجتماعی برای گرفتن 2FA مثل طراحی صفحه جعلی یا بروت MFA برای تایید آن از جمله حملات برای دور زدن 2FA و MFA هستند که هکرها از آن استفاده می کنند.

وقتی هکرها جایی راه هک می کنند معمولا با سرقت بردن Credential برای اسپری روی شرکت ها همکار یا زیرمجموعه استفاده می کنند. همچنین با استفاده از کلید خصوصی شرکت های بزرگ مثل NVIDIA اقدام به دور زدن مکانیسم های امنیتی Smart Screen و Lsass Protection می کنند. یا حتی قرار دادن بدافزار روی دامین جایی که هک شده برای ایجاد اعتماد قربانی جزو روش های هکر ها بوده است.

Installation

می‌تواند نصب بکدور روی سیستمی که هک شده، یک وب‌شل، تغییر در کلید عمومی، تغییر در سرویس سیستم عامل یا حتی بک‌دور سخت افزاری باشد (Hardware trojan advanced، Raspberry pi backdoor، Arduino backdoor).

Command and Control (C2)

استفاده از یک کامند و کنترل برای دسترسی به قربانی مثل NJ rat، Cobaltstrike–puppy، metasploit، quasar

• وقتی هکر با هر ابزار C2 به شبکه‌ی داخلی وصل می‌شود چند عمل را انجام می‌دهد. شناسایی شبکه داخلی با استفاده از bloodhound و حتی اسکن کردن شبکه داخلی با nmap. بعضی مواقع که هکرها با فایروال‌های داخلی روبرو می‌شوند که از decoy استفاده می کنند.
• وقتی وارد هر سیستم بشوند برای بدست آوردن یوزر و پسوردهای سیستم ها از mimikatz, LaZagne . … استفاده می کنند.
• گاها پیش میاد که خود اجرا ابزار نیاز داره به سطح دسترسی ادمین که باید Privilege Escalation یا بالا بردن سطح دسترسی انجام بدند از ابزارهای مثل winpeas برای چک کردن آسیب پذیری های سیستم عامل برنامه های نصب شده و سرویس و کانفیگ فایل استفاده می کنند.
• خوب معمولا وقتی هکر وارد شبکه میشه تو بخش DMZ یا حتی فیزیکی وارد بشه یه بخش کوچیک از شبکه و به همه جا دسترسی نداره برای دسترسی گرفتن به همه جا باید Post Exploitation یا Lateral Movement انجام بده ابزارهای مثل Nishang,bloodhound,powersploit برای اینکار استفاده می کنند معمولا این ابزارها به عنوان ماژول روی C2 هکرها هست Metasploit– CobaltStrike

   Action on Objectives

  انتقال اطلاعات به بیرون شبکه Exfiltration از ابزارهای dns Exfilteration استفاده میشه

  خوب سه بخش اخر به بالاترین سطح دسترسی در شبکه نیاز داره برای وایپر و باج گیر در سطح شبکه باید ادمین شده باشد.

• پاک کردن اطلاعات Wiper
• رمز کردن اطلاعات Ransomware

برای گذاشتن بکدور در این سطح باید وارد بخش gitlab یک سازمان شده باشد نمونه اش solarwinds یا حتی ساده تر یک یوزر و پسورد گیت هاب مربوط به یک کتابخانه پرکاربرد به سرقت ببرد و روی آن بکدور بگذارد با Read-only شدن آن ها و اسکنر گیت هاب کار بسیار سخت شده است.

• بکدور گذاشتن در supply chain

برای نمونه روش نفوذ گنگ باج گیر Conti طبق تحلیل ترند میکرو را بررسی کنیم.

همان طور که در عکس مشخص شده است دسترسی اولیه و اجرا کد روی سیستم قربانی از طریق ایمیل های فیشینگ یا اکسپلویت فایروال های آسیب پذیر بوده است.

1. وقتی وارد شبکه می شدند برای شناسایی شبکه را اسکن می کردند و فایل سرورها را کشف می کردند.
2. وارد هر سیستمی که می شدند اولین قدم استخراج کلیه Credential ها بوده است.
3. از اکسپلویت اکتیو برای بالا بردن سطح دسترسی به ادمین دامین استفاده می کردند.
4. روی تمامی سرورها anydesk نصب می کردند و آن را کنترل می کردند.
5. برای Lateral Movement بین سیستم های شبکه از PTH استفاده می کردند.
6. از سرویس های Sync Folder مثل Mega برای استخراج اطلاعات قربانیان استفاده می کردند.
7. برای دور زدن مکانیسم های امنیتی مثل EDR XDR از اکسپلویت‌ها استفاده می کردند
8. و در آخرین قدم کلیه سرورها رمز میکردند و درخواست باج می کردند.

طبق تحلیل تیم امنیتی مایکروسافت نحوه نفوذ گنگ لپسوس به سازمان ها Insider Threat ها بوده اند البته سهل انگاری و نشت اطلاعات از جمله یوزر و پسوردها API ها تا بخشی در مرحله Recon هکرها می تواند به یوزر و پسورد بعضی از سرورها نزدیک شوند ولی مساله اصلی دور زدن MFA می باشد که تهدید داخلی به تیم هکرها فروخته اند.

IP Addresses
آدرس IP بسیار مهم هست با اینکه ممکن است C2 به دامین وصل شوند و آدرس IP تغییر کند باز در بسیاری از مواقع هکرها از IP استفاده می کنند و در صورت کشف IP می توان آن ها را بلاک کرد و از وقوع بسیاری از حملات جلوگیری کرد.

Domain Names
در این سطح به دامین می رسیم در صورتی که دامین هایی که برای پخش بدافزار یا اتصال به C2 آپدیت نباشند و آن ها را بلاک نکنید و فقط به IP بسنده کنید در خطر جدی قرار خواهید گرفت. هکرها معمولا از DDNS استفاده می کنند و بین سرورهای هک شده C2 خود را جابجا می کنند تا از بلاک شدن جلوگیری کنند پس Domain کمک جدی جهت جلوگیری از حمله می کنند.

Network & Host Artifacts
این قسمت از هرم وارد منطقه خطرناک می شود چرا که در صورتی که هکرها وارد شبکه شوند و شما مانیتور از ترافیک شبکه نداشته باشید یا ترافیک انرمال از نرمال تشخیص ندهید شما فاز شناسایی هکرها یا بروت فورس هکرها شناسایی نخواهید کرد و پس از ورود به هر سرور شما به خطر جدی تری دچار خواهید شد.معمولا نرم افزارهای آنتی ویروس IDS از الگوریتم های هوش مصنوعی برای تشخیص ترافیک Abnormal استفاده می کنند.وقتی هکرها وارد سیستم HOST می شوند در صورتی که با Agent آن ها کنترل شوند می توان با Hash IP Domain جلوی اجرای بدافزار یا اتصال به C2 را تا حدی گرفت.

Tools
هکرها بدون شک نیازمند برای جمع آوری اطلاعات User & password privilege escalation exfiltration هستند که نیازمند هستند یک سری ابزار را با خود وارد شبکه کنند در صورتی که ندانید گروه های APT از چه ابزارهایی استفاده می کنند به خطر جدی مثل Ransomware دچار خواهید شد .معمولا آنتی ویروس ها از طریق اسکن Static هش و dynamic رفتار ابزارها آن ها را تشخیص می دهند که در بعضی موارد امکان Fully undetectable نیز وجود دارد به طور مثال ابزار Mimikatz را FUD می کنند و به راحتی می توانند از حافظه پسورد های OS RDP و… دامپ کنند و یا حتی Path the hash را انجام دهند.

Tactics, Techniques & Procedures
اخرین و مهم ترین به روز بودن در Mitre TTP هست باید در گام اول گروه های هکری بشناسید روش های نفوذ روش های بالا بردن سطح دسترسی روش های دور زدن مکانیسم های امنیتی را بشناسید تا بتوانید جلوی حملات APT بگیرید این فرایند بسیار دشوار هست برای همین گفته می شود جلوگیری از حملات APT بسیار پیچیده تر است و فاز دفاع سایبری بسیار سخت و حمله سایبری بسیار راحت تر هست.

پ.ن امنیت سایبری یک بازی شطرنج ما بین هکرها و Defender ها هست برای اینکه بتوانید برنده بازی باشید باید دشمن (هکرها)‌خوب بشناسید ابزارها روش ها متدها و همچنین در فاز به روزرسانی پچ کردن همیشه فعال باشید این فعالیت ادامه دار هست صرفا با تست نفوذ یا ISMS سازمان ها امن نخواهند شد.
حملات APT نیازمند دانش Cyber threat Intelligence هستند تا مانیتور بر روی گروه های هکری داشته باشند صرفا با داشتن تجهیزات گران قیمت firewall IDS IPS SIEM SOAR نمی توان جلوی حملات را گرفت.
Insider Attacker ها معمولا بسیار خطرناک تر از 0day 0click هستند چرا که آن ها مسیر را برای هکرها در شبکه های کاملا isolate باز می کنند. باید Access Control Privilege Control را برای کل شبکه به صورت یکسان برقرار شود بسیار از هک معمولا به خاطر چشم پوشی و white list کردن به خاطر آشنایی سابقه کار و … میسر شده اند.

برای بررسی پست قبلی که در مورد بکدورها بود MITRE را معرفی کردیم تا بتوانیم لیست Persistence ها را بررسی کنیم.

MITRE ATT&CK

https://attack.mitre.org/tactics/enterprise

یکی از پروژه هایی که حتما از قبل شنیدید MITRE ATT&CK هست که به آن TTP هم گفته می شود که مخفف Tactic Technique Procedure هست.

بر اساس این ۳ پارامتر گروه های هکری را دسته بندی می کنند تا بتوانند به صورت Pro Active حملات را شناسایی کنند Threat Hunter و یا از همین تاکتیک ها برای Red teaming استفاده کنند.

تاکتیک ها شامل :

1.   Reconnaissance : جمع آوری اطلاعات به صورت پسیو
2. Resource Development: خرید اکسپلویت یا آماده کردن سناریو های Pre texting برای مهندسی اجتماعی
3. Initial Access: گرفتن دسترسی توسط اکسپلویت یا  تکنیک های مهندسی اجتماعی
4. Execution: اجرا کردن پیلود بر روی شبکه قربانی برای دسترسی ریموت گرافیکی یا کامندی
5. Persistence: قرار دادن بکدور
6. Privilege Escalation: بالا بردن سطح دسترسی
7. Defense Evasion: دور زدن مکانیسم های دفاعی
8. Credential Access: بخشی از Post Exploitation استخراج Credential معتبر برای دسترسی به تجهیزات مختلف
9. Discovery: جمع آوری و آنالیز شبکه داخلی برای بدست آوردن شمای شبکه داخلی که هدف شناسایی سرورها و منابع داخلی شبکه می باشد.
10. Lateral Movement: برای دسترسی به سرورهای مختلف شبکه بسته به ساختار شبکه Flat Vlan نیاز به Pivoting استفاده از یک IP مورد اعتماد برای دسترسی به رنج ای پی خاص یا حتی سرور خاص.
11. Collection: جمع آوری اطلاعات بر اساس هدف هکر مثلا استخراج دیتابیس- سورس کد- فیلم – ویس – تصاویر دوربین و …
12. Command and Control: سی ۲ C2 همان Remote Access Trojan ها هستند برای اجرای دستورات بر روی شبکه با توجه به دور زدن و عدم شناسایی توسط مکانیسم های شناسایی IDS Intrusion Detection System
13. Exfiltration: در تاکتیک ۱۱ هکرها اطلاعاتی که استخراج کردند باید از شبکه خارج کنند برای همین نیاز به خروج از حجمی قابل توجه ای از دیتا را دارند که بسیار محسوس هست با توجه به عدم شناسایی توسط Firewall module Data leak prevention
14. Impact: وقتی هکرها نفوذ می کنند تاثیرات مختلفی می توانند بر روی هدف داشته باشند یکی از آن ها استخراج اطلاعات و سرقت آن ها هست Ransomware Wipe Disk دستکاری در Dev-ops برای گذاشتن بکدور بر روی محصولی که شرکت در حال ارایه به مشتریانش هست و …

برای اجرای ۱۴ تاکتیکی که مشخص شد هکرها از تکنیک های مختلف استفاده می کنند. مثلا یکی از روش های گرفتن دسترسی گفتیم تکنیک های Phishing هست یکی از تکنیک ها Spearphishing Attachment هست. با ارسال ایمیل فیشینگ در قسمت ضمیمه فایل بدافزار با فرمت داک ارسال می کند که اکسپلویت Office هست بخش آخر که ابزار یا فرآیند اجرای می باشد Procedure یا روش مشخص شده است که از چه پسوندهایی استفاده می کنند یا حتی بدافزاری که استفاده می کنند دقیقا چه عملیاتی انجام می دهد.

https://attack.mitre.org/groups/G0013/

کار ارزشمندی که MITRE کرده است در همین قسمت هست در

https://attack.mitre.org/groups

تمامی گروه های هکری لیست شده اند و مشخص کرده اند مثلا APT30 که به دولت چین مپ شده است.

در بخش آخری طبق هر Tactic Technique Procedure روش های کاهش مخاطره Mitigation را معرفی کرده است

مثلا برای فیشینگ روش های کاهش مخاطره :

1. Antivirus/Antimalware: استفاده از آنتی ویروس
2. Network Intrusion Prevention: استفاده از IPS که بر اساس Signature بتواند حمله شناسایی و بلاک کند.
3. Restrict Web-Based Content: بلاک کردن فرمت های اجرایی در میل سرور
4. Software Configuration: میل سرور هاردنینگ برای جلوگیری از عدم اسپوف میل با استفاده از SPF و DKIM برای جلوگیری از تغییر در میل حفظ یکپارچگی
5. User Training: افزایش آگاهی رسانی در برابر حملات مهندسی اجتماعی

همچنین در موبایل تاکتیک ها به شرح زیر است

https://attack.mitre.org/tactics/mobile

1. Initial Access: مجموع روش هایی که هکرها برای نفوذ به موبایل استفاده می کنند
2. Execution: اجرای دستورات توسط کامند لاین سیستم عامل موبایل – ADB Android – API iOS android
3. Persistence: قرار دادن بکدور بر روی موبایل
4. Privilege Escalation: بالا بردن سطح دسترسی از یوزر به روت
5. Defense Evasion: دور زدن مکانیسم های دفاعی موبایل ها مثل روت کردن دستگاه یا Jailbreak کردن iOS
6. Credential Access: به سرقت بردن اطلاعات که به اشتباه به اشتراک گذاشته می شود.
7. Discovery: جمع آوری اطلاعات از شبکه که موبایل در آن قرار دارند. یا حتی اطلاعاتی جزیی بر روی سیستم عامل یا سخت افزار
8. Lateral Movement: همانند قسمت استفاده از موبایل به عنوان VPN برای ورود ( به همین علت است که شبکه موبایل وایرلس از شبکه wire جدا هستند.)
9. Collection: جمع آوری اطلاعاتی که بر روی گوشی وجود دارد Contact Call Log Sms Gallary و…
10. Command and Control: کنترل موبایل توسط Remote Access Trojan وبکم میکروفن خواندن و ارسال SMS و…
11. Exfiltration: اپلود اطلاعات جمع شده به سرور هکر از طریق وای فای – سلولار یا ارسال SMS
12. Impact: به غیر از به سرقت بردن اطلاعات کاربران که در موبایل وجود دارد تاثیرات دیگری بعد از نفوذ به موبایل امکان پذیر هست مثل کلاهبرداری ارسال SMS بدون اجازه از کاربر و …
13. Network Effects: شنود ارتباطات در سطح WIFI- GPS و .. حملات SIM SWAP برای جعل سیم کارت .
14. Remote Service Effects:پس از اینکه گوشی های اندرویید و IOS سرویس کلاد مثل Google Icloud دسترسی به این محیط کلاد در صورت سینک شدن دسترسی به Gallery Contact Text میسر خواهد شد یا خیلی از MDM برای Track کردن گوشی ها هک شده  و EMM که اجازه پاک کردن یا وایپ کردن به صورت ریموت بدون اجازه در صورت به سرقت رفتن به کاربر می دهد.

لیست پروژه های دیگر که در پست های دیگر مورد بررسی قرار خواهد گرفت

https://car.mitre.org

https://atlas.mitre.org

https://d3fend.mitre.org

https://cve.mitre.org

https://cwe.mitre.org

وقتی هکرها به هر طریقی وارد شبکه می شوند معمولا فعالیت های نامحسوسی دارند تا به هدف اصلی خودشان یعنی دسترسی به منابع حساس که شامل سرور ها دیتابیس ها مستندات دوربین ها و … شوند اصطلاحا به آن lateral movement نیز گفته می شود. که در دوره های مختلف digital forensic با جزییات خیلی دقیق در مورد Indicator of compromise نحوه اگاهی از آن ها بحث می شود که به صورت خلاصه تغییراتی که در نصب فایل تغییرات فایل تغییرات کانفیگ ها اضافه شدن یوزر و … می باشد.
در واقع این گام هر قدمی که هکرها بردارند در صورتیکه شبکه به درستی کانفیگ شده باشد و همچنین log management وجود داشته باشد قابل ردگیری هست . چون باید به تمامی سیستم ها سرورهای شبکه وارد شوند تا بتواند اطلاعات مورد نظرشان را به سرقت ببرند.
معمولا اطلاعاتی که از سیستم ها و سرور ها به سرقت می بند شامل :
browser history
تاریخچه سایت هایی که رفتید
browser cookie
cookie سایت هایی که رفتید مثلا صرافی ، پرتال سازمانی و. …
browser saved credential که اشاره کردیم اگر از قابلیت master password استفاده کنید تا حد زیادی جلوی این کار می گیرید. این قابلیت در تمامی مرورگرهای Firefox و chrome وجود دارد. و اگر پسورد ست کنید به صورت auto-fill برای شما یوزر و پسورد پر نمی شود همچنین در قسمت پسورد منیجر نمی توانند پسورد هایی که ذخیره شده اند را بدون داشتن master password مشاهده کرد.
local user and password hash
یوزر و پسورد هر سیستم عاملی در یک به صورت رمز شده قرار دارد هکر ها می توانند با روش هایی هش پسورد شما را بدست آورند و از آن برای ورود به سیستم عاملهایی که همان پسورد را قرار دادید استفاده کنند یا هش را توسط ابزارهای آنلاین یا آفلاین کرک کنند .
application credential
خیلی از ابزارهای کاربردی که استفاده می کنیم یوزر و پسوردهایی دارند که در کنار فایل ذخیره می شه یا جایی در سیستم عامل ذخیره می شه اگر نرم افزار در حفظ پسوردها قابلیت امنیتی نداشته باشد هر کس می تواند پسورد ها رو به سرقت ببره
vnc , any desk , teamviewver , any desk ,…
RDP credential
وقتی ما از طریق ویندوز به سرور ها کامپیوترها مختلف RDP میزنیم توسط ابزارهای تست نفوذ این پسورد ها قابل دریافت هستند .
SSH private key
وقتی به سرور نفوذ می شوذ مخصوصا لینوکس اقدام به استخراج کلید های خصوصی برای نفوذ به سرورهای که به کلید خصوصی قابل اعتماد هستند می کنند.
confidential document
فایل های محرمانه سازمانی شخصی عکس فیلم ها در post exploit بدست می آیند.

در گام نهایی هکر ها پس از رسیدن به اطلاعات محرمانه ای که قصد رسیدن به آن را داشتند باید اطلاعات را از شبکه خارج کنند که سازمان های مختلف از روش های برای جلوگیری از نشت اطلاعات استفاده می کنند
ssl offloading
نصب certificate روی تمامی دستگاه های شبکه mobile laptop workstation برای مانیتور ترافیک میل ها و protocol های شبکه جهت کشف exfiltration ها covert channel ها که اطلاعات توسط DNS یا دیگر protocol ها از شبکه خارج نشود.
Data loss preventation
یک ماژول روی فایروال ها می باشد که بر روی ترافیک خروجی ماینتور می کند تا از خارج شدن اطلاعات حساس جلوگیری می کند و در صورت شناسایی اپلود با حجم ها بالا و پکت های ناشاس آن ها را بلاک می کند.
لینک های کاربردی برای جزییات بیشتر Post Exploit
https://attack.mitre.org/tactics/TA0008/
https://attack.mitre.org/tactics/TA0011/
https://attack.mitre.org/tactics/TA0010/
کتاب ها و ابزارهایی که در کلاب معرفی شده اند :
https://t.me/Peneter_Tools
https://t.me/Peneter_Media

انواع بکدورها
Application
System
Crypto
Hardware
مکانیسم های بکدور
hidden functionality
special credentials
Unintended network Activity

Maintain Access Methods
اضافه کردن یوزر یا عوض کردن پسورد
عوض کردن گروه یوزر ادمین کردن یا حتی عوض کردن پسورد پالیسی بدون نیاز به چنج پسورد در مایکروسافت
استفاده از BITS admin مایکروسافت برای دانلود و اجرای اکسپلویت خاص
دست کاری بوت یا استارت اپ ها
نصب پلاگین روی مرورگرها برای شنود و دزدیدن اطلاعات
دستکاری برنامه های اجرایی در سیستم عامل ، دستکاری سورس کدها ( بارها ریپازیتوری های گیت هاب دستکاری شده اند و کد های بکدور روی لایبری های اوپن سورس قرار گرفته است.)
ساخت یا دستکاری پراسس ها ، مثل ساخت یک سرویس به عنوان بکدور در سیستم عامل
دستکاری Event Trigger در event viewer شما می توانید توسط Event viewer اگر کد event خاصی ایجاد شد یک تسک خاص را ران کنید !
Route مستقیم از بیرون به داخل شبکه سبب دور زدن فایروال می شود. ساخت یوزر V P N و همچنین استفاده RAT ها که دسترسی ریموت می دهند ! همچنین hijack اکانت های ولید در سازمان مثل اکانت ادمین سازمان می تونه یک بکدور حیاتی در سازمان بشه که به V P N ، MAIL و کلیه دیتابیس و سرویس های دیگر دسترسی دارد.
جایگزین کردن لایبری های حساس با لایبری های که سبب دسترسی می شوند مثلا Shimrat قابلیت بایپس UAC را دارد !
پخش IMAGE ها DOCKER ها و برنامه های کاربردی مختلف که دستکاری شده اند . حتی CMS های مختلف که سایت سازنده می زاره اگر هک بشه می تونه روش بکدور و وب شل قرار بگیره چون سورس تراست هست برای همه دانلود می کند.
استفاده از SSH-keygen برای بکدور روی سرورهای لینوکسی یا بدافزارهای که قابلیت سرقت private key دارند از روی سیستم های مختلف
OFFICE Exploit بسیار متداول در چندین سال مورد استفاده هکرها بوده که توسط ماکروها فایل مخرب را روی سیستم های ویندوزی اجرا می کرند حتی اکسپلویت های PDF که با اجرا آن باز فایل مخرب دانلود و اجرا می شد برای بکدور در سازمان ها مورد استفاده قرار می گیرد.
بکدور روی فریمور BIOS (Basic Input/Output System) and The Unified Extensible Firmware Interface (UEFI) جزو بکدورهای خیلی خاص حتی اکسپلویت های مختلف در سال های گذشته برای دور زدن BOOT Integrity در سیسکو منشتر شده است.
task schedule / cronjobs بسیار ابزارهای کاربردی برای بکدور گذاشتن هستند که خیلی مورد استفاده هکرها هست.
طراجی نرم افزارهای کاربردی و جایگزین با نسخه اصلی آن ها مثل طراحی Windows Defender یا حتی اسکریپت های پاورشل در ویندوز
باز کردن سوکت به بیرون شبکه برای جابجایی اطلاعات و استفاده بکدور

Priviledge Escalation
Horizontal privilege escalation
همان Account Take over اکانت دیگری در همان سطح دسترسی به توانیم دسترسی پیدا کنیم یکی باگ بانتی های متداول می باشد.
Vertical privilege escalation
بالا بردن سطح دسترسی یا همان vertical PE یعنی اکانت با پایین تر سطح دسترسی را تبدیل به
Local Administrator
Domain Administrator
NT_Authority
ROOT
از جمله روش های بالا بردن سطح دسترسی
دور زدن مکانیسم کنترل سطح دسترسی یا ارتقا دسترسی مثل UAC SUDO که در ویندوز و لینوکس برای اجرا کارهای با دسترسی بالاتر باید یوزر خودش را تعیین سطح دسترسی کند. به عنوان مثال پیدا کردن فایل که پرمیشن اجرا دارد و دسترسی روت دارد و هکر می تواند با این فایل در لینوکس سطح دسترسی خود را بالا ببرد
وقتی یوزر ادمین یا روت وارد می شود یک توکن به او تعلق می گیرد روش هایی برای سرقت توکن وجود دارد که سبب می شود یوزر معمولی دسترسی ادمین یا روت بگیرد

در گفت‌وگویی که به صورت تخصصی صورت گرفته بود به یک سری تاپیک و سرفصل‌های کلی اشاره کردیم تا خوانندگان آشنایی بیشتری با فضای ابزارهای اسکنر برای سکوهای مختلف پیدا نمایند. در این مطلب نیز به بیان توضیحات بیشتری در مورد آن‌ها خواهیم پرداخت.

گام دوم تست نفوذ Enumeration & Scanning
طبق قرارداد تست نفوذ که مابین تیم تست نفوذ و کارفرما منعقد می‌شود، دامنه کاری مشخص می‌گردد. همچنین در گام اول تمامی راه‌های ورودی به شبکه در دو زمینه وب و تجیزات شبکه لیست می‌شوند. در این گام است که تیم تست نفوذ شروع به ارزیابی نقاط ورودی می‌کند.

Port Scanning
همان طور که می‌دانید در گام اول برای اسکن کلیه نود‌های شبکه، از اسکنر‌های پورت استفاده می‌شود تا تیم مربوطه متوجه شود چه پورتی (درگاهی) بر روی نودها باز است. به دلیل آن که پورت هر سرویس می‌تواند تعویض گردد بنابراین لازم است ابتدا پورت اسکن شود و سپس گام بعدی اجرا شود.

می‌توان گفت که در این خصوص 1 تا 65535 پورت قابل استفاده می‌باشد و پورت‌هایی که برای سرویس‌های معروف رزرو شده‌اند، تعدادشان بین 1 تا 1024 می‌باشد که امکان تغییر در سرویس‌های متن باز و یا حتی سرویس‌های ویندوزی را دارند. Nmap و Angry IP Scanner از ابزارهای پرکاربرد در این حوزه به شمار می‌آیند.

نکته: گاهی اوقات پیش می‌آید به عنوان فردی که در حال انجام تست نفوذ هستید با یک سری از محدودیت‌ها روبرو شوید و در شبکه‌ای که تست نفوذ انجام می‌دهید امکان استفاده از برخی ابزارها وجود نداشته باشد. در این زمان لازم است شما دانشی ابتدایی در خصوص اسکریپت نویسی داشته باشید.

همان طور که پیشتر هم اشاره کردیم هر سیستم عاملی دارای زبان اسکریپت مخصوص به خود است. در ویندوز Powershell امکان توسعه ابزار اسکن پورت را برای شما فراهم می‌کند و در Bash Script نیز این امکان را برای شما در لینوکس و خیلی از سیستم عامل‌های شبکه و یا حتی سیستم عامل مکینتاش فراهم می‌نماید.

Service Scanning / Banner Grabbing
زمانی این مرحله صورت می‌گیرد که پورت‌ها اسکن شوند، زیرا این امکان وجود دارد که برای سرویس SSH، ما از پورت 3306 که مربوط به پورت Mysql هست استفاده کنیم و در این شرایط تنها با Banner Grabbing یا اسکن سرویس قادر به شناسایی سرویس هستیم. همچنین بعضی از بنرهای سرویس‌ها به صورت پیش‌فرض نسخه سرویس را برای ما نمایش می‌دهند.

نکته 1) به این مورد باید توجه داشته باشید که اگر در سازمان یا شبکه حساسی کار می‌کنید حتما در بکارگیری banner جدی باشید. زیرا یکی از پیگیری‌های قضایی بکارگیری banner برای شرکت و سازمان خاصی است که فرد در حال اسکن آن می‎باشد، بنابراین باید بداند امکان پیگیری قضایی بر عملی که انجام می‌دهد در آینده وجود دارد. جالب است بدانید رِنج‌ آیپی‌های دولتی کشورهای آمریکایی و اروپایی همگی دارای بنرهای اخطار برای تست ابزارهای تست نفوذ هستند.

نکته 2) حتما با سرویسی که نصب می‌کنید نسخه سرویس را تغییر دهید یا پاک کنید. این اطلاعات به شخصی که تست نفوذ می‌کند کمک کرده و یا باعث می‌شود زمان بیشتر جهت کشف نسخه را از شخصی که هک می‌کند، ‌بگیرد.

از ابزارهای پرکاربرد در این خصوص می‌توان به Nmap و  netcat و .. اشاره کرد.

Vulnerability scanning

هر سرویس شبکه‌ای که نصب می‌شود دارای یک ورژن خاص می‌باشد. آسیب پذیری‌ها نیز معمولا روی ورژن‌های خاص سرویس‌های شبکه یا ورژن خاصی از سیستم عامل‌ها اتفاق می‌افتد. همچنین این عمل در وب نیز صادق است. اکسپلویت‌ها برای ورژن خاصی توسعه داده می‌شوند و به اسکنر‌های آسیب پذیر این اجازه را می‌دهند که به عنوان شخصی که تست نفوذ را انجام می‌دهد، ببیند سرویس‌هایی که در حال استفاده هستند آیا جزء ورژن آسیب‌پذیر به شمار می‌آیند یا خیر؟

نکته یک: گاهی اوقات نیز پیش می‌آید شما به عنوان شخصی که در حال تست نفوذ هستید، سرویسی را در شبکه پیدا می‌کنید که دارای نسخه آسیب پذیر هست و اسکنر نیز تشخیص می‌دهد که آسیب پذیری وجود دارد ولی شما قادر به اکسپلویت نیستید. این اتفاق به دلایل زیادی رخ می دهد.

جلوگیری توسط IPS Firewall یکی از این دلایل است یا حتی این امکان وجود دارد که اسکنر شما فقط از روی ورژن تشخیص داده باشد که آسیب پذیر است، ولی توسعه دهنده یا ادمین شبکه آن را بدون تغییر دادن ورژن پچ کرده باشد.

پس اتکای تنها به اسکنر نیز می‌تواند یک سری مشکلات را در پی داشته باشد و به اصطلاح True False را به ما دهد و ما را گمراه نماید یا حتی گاهی اوقات می‌تواند پیچیده‌تر از این نیز باشد.

نکته دو: در ادامه نکته قبلی زمانی که شما از ابزارهای اسکن آسیب پذیری استفاده می‌کنید، خیلی از آسیب پذیری‌ها را نیز پیدا می‌کنید ولی قابل سوءاستفاده یا بهره برداری نیستند. این مورد ممکن است به جهت honeypot باشد. بنابراین به عنوان تیم تست نفوذ نیاز هست که شما دوباره پس از اسکن آسیب پذیری نتایج را ارزیابی کنید تا مطمئن شوید که اشتباهی صورت نگرفته باشد.

از ابزارهای پرکاربرد در این خصوص می‌توان به ابزارهای openvas و metasploit ، nmap  و  …اشاره کرد.

Service enumeration

enumeration یک فرآیند برای بدست آوردن اطلاعات جانبی از سیستم عامل، نرم افزار و سرویس می‌باشد. این اطلاعات به هکر و یا تیم تست نفوذ جهت اکسپلویت کمک بسیاری خواهد کرد که در ادامه به چند نمونه اشاره خواهیم کرد.

سرویس‌هایی مانند smb ssh snmp قابل enumerate هستند و می‌تواند کانفیگ دستگاه یا حتی یوزری که در سیستم می‌باشد را استخراج نماید و جهت اجرای حمله دیکشنری بهتر به تیم تست نفوذ کمک شایسته‌ای نماید.

از ابزارهای پرکاربرد در این حوزه می توان بهmetasploit  و nessus اشاره کرد.

Firewall Assessment

می‌دانید که فایروال‌ها به مثابه مرز ورودی و خروجی در شبکه‌ها به شمار می‌آیند. یکی از کارهایی که تیم تست نفوذ انجام می‌دهد نیز ارزیابی فایروال است به طوری که مشخص نماید آیا اجازه اسکن سرویس‌هایی که پشت فایروال قرار دارند وجود دارد یا خیر؟ یا آنکه فایروال‌ها DLP یا امکان عدم افشای اطلاعات را دارند یا خیر؟ که البته لازم است این ارزیابی از بیرون و از داخل صورت گیرد.

از ابزارهای پرکاربرد در این زمینه می‌توان به firewalk، hping و nmap ،p0f و Unicornscanner و… اشاره کرد.

Web technology

همان طور که در گذشته نیز اشاره کردیم  Web technologyیکی از درگاه‌های ورودی و خروجی شبکه وب به شمار می‌آید. امنیت web نیز به چند عامل مهم بستگی دارد که شامل web application security  ،  server security، WAFو web server می‌شود که برای این موارد نیز اسکنرهای مختلفی داریم.

اسکنرهای وب مختلفی وجود دارد که می‎توان توسط آن‎ها وب‎ها را اسکن کرد. همچنین می‌توان از قابلیت تولید گزارش آن‌ها نیز استفاده کرد. خیلی از اسکنرها نیز قابلیت‌های مختلف اسکن پورت و حتی دیکشنری اتک را به ما می‌دهند.

در زیر لیستی از اسکنرهای محبوب وب را آورده‌ایم که از قیمت‌های مختلفی برخوردارند. در این بین burp suite دارای دو نسخه رایگان و پولی می‌باشد که شما می‌توانید آن را از سایت دانلود کنید. علاوه بر اسکن قابلیت‌های مختلف دیگری از قبیل fuzzing را نیز در اختیار ما قرار می‌دهد و به عنوان یک proxy عمل می‌کند و به این صورت ما اصطلاحا قادر به تست‌های دستی بر روی وب خواهیم شد. این مورد نیز به دلیل آن است که بسیاری از اسکنرها signature های مشخصی دارند و توسط فایروال‌ها WAF IDS قابل شناسایی و ban  شدن هستند.

در این خصوص ما ابزار burp suite را برای ارزیابی بهتر پیشنهاد می‌کنیم، زیرا این ابزار علاوه بر تولید گزارش برای شما، پلاگین‌های مختلف جهت اسکن وب و شبکه را نیز دارا می‌باشد. تنوع پلاگین‌های مجانی و پولی این ابزار بسیار بالا می‌باشد همچنین اگر دانش جاوا را نیز داشته باشید قادر به توسعه پلاگین برای خود خواهید بود.

• Acunetix
• Netsparker
• Hp web inspect
• IBM App Scan
• core impact
• burp suite

نکته اول: اگر به عنوان white box در حال ارزیابی سورس کد وب هستید، می‌توانید علاوه بر مشاهده سورس و بررسی آسیب پذیری‌ها از ابزار hp code analysis نیز استفاده کنید.

nikto/webshang نیز برای اسکن وب سرور و پلاگین‌هایی که روی وب سرور نصب شده‌اند بسیار پرکاربرد هستند زیرا همان طور که اشاره کردیم یکی از فاکتورهای امنیت وب را وب سرور تشکیل می‌دهد.

OS scanning (smart phone os, server/client , NOS ,embedded OS)

برای اسکن سیستم عامل‌ها نیز همان طور که پیش‌تر گفتیم باید پورت و سرویس را اسکن کنیم. به دلیل آنکه اگر سیستم عامل‌ها security base line اولیه را داشته باشند با نصب هر سرویس امکان آسیب پذیر کردن سیستم عامل وجود دارد، بنابراین باید کلیه سرویس‌هایی که روی سیستم عامل نصب شده‌اند، ارزیابی شوند.

از ابزارهای پرکاربرد جهت اسکن سیستم عامل‌ها نیز می‌توان به namp metasploit  و .. اشاره کرد.

Hardware Tools

جهت اسکن شبکه نیز از یک سری سخت‌افزار‌ها استفاده می‌شود که در ادامه به چند سخت‌افزار پرکاربرد در این زمینه اشاره خواهیم کرد.

• HackRf SDR: ابزاری است که از آن جهت اسکن و شنود شبکه SDR software define radioاستفاده می‌شود.
• Alfa network adapter: از این ابزار نیز جهت اسکن شبکه وایرلس ( تست نفوذ وایرلس) استفاده می‌شود.
• arduino: نیز جهت ساخت سخت‌‌افزار برای اسکن در شبکه IoTمانند پیدا کردن پین‌های UARTمورد استفاده قرار می‌گیرد.
• ubertooth:نیز قابلیت اسکن شبکه بلوتوث و قابلیت replayدارد.
• zigbee apimote:جهت اسکن شبکه zigbee و قابلیت replay وجود دارد.
• raspberry pi: جهت پیاده سازی اسکن و ارزیابی دیجیتال در دستگاه‌های IoT استفاده می‌شود.
• beagle bone: نیز جهت debugging ARMبکار رفته و قابلیت ارزیابی آنالوگ در دستگاه‌های IoT را دارد.

خارج از تیم شبکه برای امن کردن شبکه نیاز به دو تیم آفند و پدافند نیز می‌باشد. به جهت آن که امنیت از مهمترین فاکتورهای شبکه محسوب می‌شود، تا زمانی که مدیران C Level به این بلوغ فکری و مدیریتی نرسند که لازم است در راستای ارتقای امنیت مجموعه‌شان هزینه‌هایی را تقبل نمایند، طبیعتا باید هزینه صورت نگرفته را جهت بازگشت اعتبار از دست رفته‌شان به کار گیرند؛ زیرا در صورت نفوذ، افشا یا از بین رفتن اطلاعات ممکن است مورد باج‌گیری قرار گیرند.

بنابراین محاسبه و ارزیابی دقیق در خصوص دارایی‌های یک سازمان که می‌تواند در صورت هک شدن با خطر مواجه شود، از اهمیت بالایی برخوردار است. به همین منظور هزینه‌ای که برای امنیت می‌شود رابطه مستقیمی با ارزش داده‌ها دارد و حاصل این مصالحه (Trade Off)، امنیتی است که در سازمان به وجود می‌آید.

Red Team

تیم آفند، از هکرهای قانونمند (Ethical Hacker) که دائما در حال ارزیابی شبکه و کارمندان به روش‌های مختلف می‌باشند، تشکیل شده است. این ارزیابی‌ها عموما به صورت قانونمند انجام می‌شود و مانند یک هکر که قصد کشف نقاط ضعف را دارد این تیم نیز در تلاش است مسائل آسیب پذیر را کشف نماید. کارهایی که این تیم انجام می‌دهد شامل موارد زیر می‌شود.

• اسنیف شبکه برای کشف سیستم عامل‌های شبکه و بررسی آسیب پذیری در آن‌ها و همچنین ترسیم یک نقشه برای نظم‌دهی به ارزیابی مورد استفاده قرار می‌گیرد.
• کشف تمام نقاط ورودی شبکه که شامل تجهیزات شبکه از قبیل فایروال‌ها، روتر‌ها و همچنین سرورها می‌باشند و بررسی آسیب پذیری در آن‌ها، مانند ارزیابی فایروال که از بیرون و داخل جهت تست DLP و همچنین گذر (Bypass) فایروال جهت اسکن سرویس‌هایی که پشت فایروال قرار می‌گیرند، نیز کار این تیم می‌باشد.
• بررسی امنیت فیزیکی شبکه که شامل اتاق سرور، دسترسی به کامپیوترها در شبکه یا ورود یک لپتاپ غیر مجاز به داخل شبکه از دیگر فعالیت‌های این تیم می‌باشد.
• کشف تمام سرویس‌های موجود در شبکه (banner grabbing و port scanning) و بررسی آسیب پذیری در آن‌ها
• تست کارمندان به صورت دوره‌ای که شامل ارسال ایمیل ناشناس برای ارزیابی آگاهی امنیتی پرسنل می‌شود و شامل سناریوهای مختلف مهندسی اجتماعی می‌باشد (به طور مفصل به این موضوع در پست‌های دیگر بلاگ پرداخته شده است)

به صورت کلی تیم آفند دائما در حال ارزیابی امنیتی و تلاش برای نفوذ هستند تا تمامی راه‌های نفوذ را شناسایی و گزارش کنند. بررسی آسیب‌پذیری‌ها و همچنین اکسپلویت‌هایی که منتشر می‌شوند وظیفه تیم آفند می‌باشد تا ارزیابی لازم را جهت آسیب پذیر بودن شبکه نسبت به این ابزار‌ها و اکسپلویت‌ها انجام دهند.

بهترین منبع RTFM

Blue Team

تیم پدافند عموما وظیفه‌اش حفاظت و صیانت از امنیت شبکه می‌باشد. Blue Team با توجه به گزارش‌های Red Team، تمامی باگ‌ها و آسیب پذیری‌ها را رفع می‌کند. از جمله کارهای این تیم می‌توان به موارد زیر اشاره کرد:

• مدیریت سرویس DNS برای جلوگیری از حملات Phishing
• آنالیز لاگ شبکه برای کشف ورودی‌های غیرمجاز
• نصب Endpoint Security بر روی کلیه دستگاه‌های شبکه داخلی و دستگاه‌هایی که بین سازمان در حال جابجایی هستند.
• بررسی کانفیگ فایروال به صورت مداوم برای جلوگیری از حملات و ورودی‌های غیرمجاز
• نصب و کانفیگ IDS و IPS برای شناسایی و جلوگیری از حملات شبکه
• پیاده سازی SIEM سرور برای آنالیز لاگ‌های شبکه (از جمله نقاط حساس شبکه، لاگ‌ها و مدیریت لاگ‌ها می‌باشد)
• آنالیز لاگ‌ها در صورت کشف آنومالی یا رفتار غیرمتعارف در شبکه که البته باید دقت داشت که اکسپلویت‌های روز صفر (0Day)، فقط توسط لاگ قابل شناسایی هستند
• VLANبندی و تفکیک شبکه‌ها جهت مدیریت سطح دسترسی و همچنین کاهش مخاطرات نفوذ از نقاط DMZ به شبکه دیتابیس یا سرورهای حساس
• استفاده از ابزارهای اسکن آسیب‎پذیری جهت کشف و رفع آسیب‌پذیری‌ها
• نصب و پیکربندی آنتی ویروس، آنتی روت‌کیت و آنتی Ransomwareها
• فراهم کردن امنیت دستگاه Embedded داخل شبکه (دوربین‌ها، دستگاه‌های ذخیره ساز، مودم‌ها و …)

به طور کل تیم آفند و پدافند تکمیل کننده‌ی یکدیگر هستند و در راستای ارتقای امنیت شبکه تلاش می‌کنند. بنابراین لازم است برای هم‌افزایی بیشتر، این تیم‌های مدیریت امنیت تلاش کنند که رابطه بین این دو تیم همیشه بسیار خوب باشد. از جمله تیم‌های میانی که برای هم‌افزایی این دو تیم فعالیت می‌کنند، می‌توان به تیم Purple اشاره کرد. وظیفه این تیم نیز هم‌افزایی بین آفند و پدافند می‌باشد.

بهترین منبع Blue TEAM

بهترین منبع Purple Team

همچنین می توانیم تست نفوذ یک تابع در نظر بگیریم که ورودی black box می باشد و همچنین فرایندها تست اکسپلویت ها و حملات می باشد و نتیجه یا خروجی این تابع گزارش تست نفوذ می باشد.

black box در واقع می تواند شبکه های کامپیوتری , سخت افزار , نرم افزار و سیستم عامل ها باشند.

گزارش تست نفوذ در واقع شامل نتیجه اکسپلویت  آسیب پذیری های شناخته شده بر روی ورودی (بلک باکس)  می باشد.

قالب های مختلف تست نفوذ

blackbox

تست نفوذ بلک باکس یا همان جعبه سیاه یکی از متداول ترین قالب های تست نفوذ می باشد که کارفرما ها درخواست می کنند چرا که پیاده سازی تمامی مراحل مثل یک هکر می باشد و شرایط یکسان می باشد و شما تنها اطلاعاتی که در اینترنت در مورد شبکه خاص وجود دارد را دسترس دارید نه بیشتر نه کمتر زمانی که شما بتوانید نفوذ کنید یا نقاط آسیب پذیر را بدست آورید بسته به وسعت شبکه یا پیچیدگی یک برنامه دارد. بالطبع هر چه اطلاعات اولیه کمتر باشد نتایج دارای خطا بیشتری می باشند.

graybox

تست نفوذ جعبه خاکستری اطلاعات اولیه بیشتری نسبت به جعبه سیاه در اختیار تیم تست نفوذ قرار داده می شود.به عنوان مثال برای تست نفوذ وب سایت های یک سازمان به تیم تست نفوذ یک اکانت داده می شود یا حتی فایروال را برای تست نفوذ بایپس می کنند. نتایج در این نوع از تست دقیق تر از جعبه سیاه هست . ولی این نکته هم وجود دارد که دیگر شخص برای یافتن راه های ورود مثل یک هکر فکر نمی کند !

whitebox

تست نفوذ جعبه سفید اطلاعات ورودی به شبکه یا سیستم به صورت کامل به تیم تست نفوذ تحویل داده می شود و همچنین تیم تست نفوذ دسترسی کامل به سورس برنامه های وب نیز دارد و می تواند مشکلات امنیتی را از سورس نیز ارزیابی کند و به مراتب دقت در این تست بسیار بالاتر می باشد.

مهم ترین نکته قبل از شروع تست نفوذ داشتن قراردادی کامل و قانونی و مشخص کردن دامنه کاری می باشد که حتما باید دامنه و ساب دامنه ها با کارفرما چک شود . همچنین باید قبل از هر گونه استفاده از ابزارهای اسکن یا استفاده از اکسپلویت ها با کارفرما هماهنگ شود . چرا که سیستم های که در حال تست نفوذ هستند امکان دارد در حال سرویس دادن و در شرایط حساس قراردارند. در بسیاری از مواقع در صورت حساس بودن یک clone یا کپی از سیستمی که قرار است مورد ارزیابی قرار بگیرد تهیه می شود تا تست ها بر روی آن انجام شود.

همچنین فرایند تست نفوذ به ترتیب زیر می باشد.

1. Information Gathering
2. Enumeration & scanning
3. Exploiting
4. Maintain Access
5. Post Exploiting
6. Reporting

جمع آوری اطلاعات اولین و مهم ترین قدم در تست نفوذ می باشد تا زمانی که blackbox به خوبی شناخته نشود . این امکان وجود دارد مراحل بعدی را مشکل مواجه کند . بدین معنی هست که اگر قرار است سازمانی تست نفوذ شود باید تمامی دامنه ها و ساب دامنه ها شناسایی و همچنین کلیه رنج آی پی های آن سازمان به طور مثال شناسایی شود. همچنین برای اینکه فرآیند نظاممند شود از ابزارهای مختلف استفاده می شود یکی از این ابزارها XMIND می باشد.

پویش و اسکن آسیب پذیری ها: در دومین گام از ابزارهای اسکن وب شبکه یا سورس کد برای شناسایی آسیب پذیری های شناخته شده استفاده می شود . البته باید توجه داشت با توجه به هدف ممکن است محدودیت از ابزار وجود داشته باشد لذا خیلی اوقات فرایند تست به صورت دستی و توسط پراکسی مثل burpsuite انجام می شود.آسیب پذیری های شناخته شده در سمت وب شبکه و … همگی به صورت blackbox یا whitebox قابل شناسایی هستند ولی زمان کشف متفاوت است.

اکسپولیت یا سواستفاده از آسیب پذیری ها در واقع روش یا کدی برای نفوذ از طریق آسیب پذیری های شناخته شده است . که در فرایند تست نفوذ برای نمایش proof of concept در گزارش ها آسیب پذیری را exploit میکنند و عدله بر آسیب پذیر بودن سیستم ارایه می کنند که البته باید در قرارداد ذکر شده باشد که در فرایند کلی سیستم اختلال ایجاد نشود چرا که اکسپلویت بعضی از آسیب پذیری ها منجر به خواندن غیر قانونی اطلاعات و بعضی دیگر مختلف کردن سیستم می شود.

ثبت دسترسی یا حفظ سطح دسترسی یکی از مراحل می باشد که هم توسط هکرها و هم اشخاصی که تست نفوذ می کنند انجام می شود .این مرحله شامل قرار دادن درب پشتی backdoor که می تواند به طور خیلی ساده ایجاد نام کاربری جدید یا پیچیده تر استفاده از وب شل در وب یا بکدورهای مثل rootkit که در سطح سیستم عامل قرار داده می شود انجام شود . البته باید به این نکته توجه کرد . استفاده از ابزارهای غیر قانونی در تست نفوذ قانونمند ممنوع است !

فرایندهای که بعد از نفوذ انجام می شود شامل گامهایی می باشد که به دیتابیس یک سازمان دست پیدا می کنند یا به حساس ترین اطلاعات مثل دسترسی به دوربین ها لیست کارمندان یا جابجایی پول در بانک این مرحله نیز در خیلی از گزارش های تست نفوذ capture می شود که به آن poc در جلسات ارایه شود.

مهم ترین مرحله نگارش گزارش تست نفوذ می باشد شرکت Ec-council در یکی از دوره های امنیت LPT دوره گزارش نویسی را ارایه می کند که قالب های مختلف گزارش را به دانشجویان خود ارایه می کند که در هنگام تست نفوذ صرفا طبق قالب کلی مراحل را انجام و گزارش را تکمیل می کنند.

شرکت های امنیتی هر یک این مراحل را برای تست نفوذ تکنولوژی های مختلف شرح داده اند که این شرح در ابتدا به صورت check list می باشد و این لیست شامل مراحل کلی هست که افراد برای تست کردن استفاده می کنند که شامل آسیب پذیری های شناخته شده می باشد . در ادامه این لیست تبدیل به متدلوژی تست نفوذ می باشد یعنی در طی زمان شرکت ها تست های مختلف می کنند و بعد از رسیدن به نتایج در تست های مختلف methodology برای تست نفوذ ارایه می کنند به طور مثال متدلوژی تست نفوذ اینترنت اشیا که OWASP بر روی سایت خود قرار داده است. اگر methodology به یک ساختار نظامند تبدیل شود کلیه شرکت های امنیتی آن را تایید کنند به استاندارد تبدیل می شود و شرکت های کوچک تر یا Penetration tester ها از استاندارد های تست نفوذ برای عملیات خود استفاده می کنند . باید توجه داشت کلیه استانداردهای تست نفوذ در واقع یکی هستند ولی قالب گزارش تست نفوذ کمی با دیگری متفاوت هست . که در پست های آینده انواع این استاندارد ها را با یکدیگر مقایسه خواهیم کرد.

آیا با کپی پیست روش‌ها و استفاده از ابزارها هر شخصی هکر محسوب می شود؟
باید به این نکته توجه داشت افراد با سطح دانش مختلف و توانایی‌های مختلف می‌توانند تغییراتی غیرقانونی در نرم‌افزارها انجام دهند. به عنوان مثال اگر شخصی آموزش‌های ابتدایی کرک کردن را یاد گرفته باشد شاید بتواند خیلی از نرم‌افزارها رو کرک کند، یا حتی اگر کار با ابزارهای مختلف تست نفوذ را یاد گرفته باشد شاید بتواند وب‌سایت‌های مهمی را هک کند ولی هیچ‌گاه هکر محسوب نمی‌شود. در واقع افراد با سطح دانش پایین با کپی کردن متدهای هکرها، فرآیند را تکرار می‌کنند و هیچ‌گونه نوآوری ندارند. این افراد تازه کار Script Kiddie یا Newbie محسوب می‌شوند که صرفا کار با ابزار یا فرآیند مشخص را از یک هکر یاد گرفته‌اند و تکرار می‌کنند.

تفاوت بین هکرهای قانونمند (Ethical) و غیرقانونی (BlackHat)
هکرها با دیدگاه‌های مختلف محدودیت‌های قانونی و غیرقانونی را دور می‌زنند و در واقع هکرها می‌توانند قانونمند یا غیرقانونی عمل کنند. هکرهای BlackHat که محدودیت‌ها را به صورت غیرقانونی دور می‌زنند به طور مثال کپی‌خور کردن دستگاه‌های Play Station یا کرک کردن سیستم عامل ویندوز و یا کرک کردن نرم‌افزارهای کاربردی مثل Internet Download Manager یک فرآیند غیرقانونی است که هکرها این عملیات را انجام می‌دهند. به طور کلی به این دسته از هکرها Cracker نیز گفته می شود.