А вот и ответ, почему одного ТЗ недостаточно, чтобы построить IdM-систему. Полную версию интервью смотрите на сайте.

Говорят, кто знает противника, тот не потерпит ни одного поражения. Проверим, что вы знаете об атаках?

Вы проголосовали – раскрываем тему.

Дисклеймер: все действия в этом кейсе выполнены профессионалами.

Инцидент
Компания, которая защищает клиента, находит, что в даркнете продают базу данных этого самого клиента. Что можно сделать? Например, купить ее первыми. Но у нас нет задачи спонсировать криминал. Наша цель – расследовать, куда уходят корни инцидента.

Следствие ведут…🕵🏻‍♂️
Перевод денег происходит через крипту. Считается, что чистый криптокошелек – это почти 100% гарантия анонимности, потому что связать его с конкретным человеком почти невозможно.

Но есть момент: если злоумышленнику нужно обналичить деньги с этого кошелька, то деньги с него рано или поздно попадут на биржу. И вот здесь можно попытаться его идентифицировать. А дальше начинается OSINT-расследование. Продолжение ниже.

Акт 1. Вычисляем основного выгодоприобретателя
Определяем, кто получил деньги: чем он занимается, что пишет в соцсетях, с каких IP-адресов заходит на биржу. Если с двух несвязанных, возможно, это два разных человека.

Акт 2. Идентифицируем сообщника
Можно выяснить, чем занимается подельник криминального «биг босса». Выяснили, что его данные есть в утечке группы, «специализирующейся» на «сливах» персональных данных. По этим данным идентифицировали сообщника как владельца геймдев-студии Х.

Акт 3. Включаем в круг совладельца
Помимо главного выгодоприобретателя и его подельника, владельца геймдев-студии Х, в этом сюжете есть и совладелец студии Х. Его легко найти среди почт разработчиков студии. Видим, что эта почта связана с почтой подельника – бинго, это одна шайка.

И вот наши «трое в лодке». Но что еще есть у совладельца?
Его почта обнаружилась в заметках одного из аналогов pastebin, в которой есть связка этой почты с работами на некоем сервере. Смотрим связи с другим сервером и находим еще один сервер, на котором бэкапились лог-файлы сторонней «подломанной» организации для их дальнейшей продажи.

Чем это помогло?
Мы попробовали выяснить, как этот сервер связан с организацией, которую сломали. Нашли необходимый контакт и уведомили организацию. Совместно с администраторами подали жалобу хостеру, который отключил VPS-сервер. В течение полугода следили, что данные с ликвидированного сервера больше нигде не появлялись. Таким образом, слив был предотвращен.

OSINT – полноценное расследование, которое может вывести туда, куда не ждешь. Но сколько веревочке ни виться, именно оно поможет вычислить и предотвратить угрозу. Без такого расследования можно упустить гораздо более глубокие проблемы, которые в дальнейшем нанесут серьезный урон компании.

В отборочном туре международного киберчемпионата, который мы провели в рамках ПМЭФ, участвовало 40 команд из 20 разных стран. Всего было проведено более 2480 атак, и более 2000 атак достигли цели!

Популярная уязвимость, которую пропустило большинство команд, – RCE ProFTPD. Ее легко эксплуатировать, она позволяет получить доступ к вашей сети, что может привести к остановке бизнеса, потере клиентов и репутационному ущербу.

Собрали советы как действовать защитникам, чтобы не пропустить RCE ProFTPD.

1. Изучаем актуальный эксплойт, чтобы понять механизм его работы.

2. Пишем контент для противодействия или блокировки эксплуатации уязвимости. В случае с ProFTPD это IPS, WAF и защита конечных станций. Контент может содержать в себе сигнатуры для IDS/IPS/HIPS и WAF, integrity checking, сигнатуры для AV/EDR и дополнительные сегменты конфигурации для сбора телеметрии с конечных хостов.

3. Используем получившийся контент в режиме детектирования, чтобы узнать о текущих возможных атаках.

4. Проверяем контент в тестовом контуре: пентестеры или сами команды проводят эксплуатацию уязвимости и дорабатывают контент.

5. Запускаем сканирование на уязвимости, если этого еще не было сделано, и инвентаризировать активы, где RCE ProFTPD была обнаружена.

По данным сканирования можно скорректировать план для установки патчей. А по данным инвентаризации можно провести атаку и проверить качество написанного контента для верификации уязвимости. Этот шаг позволит минимизировать срабатывания True Positive, а защитники получат информацию, как можно улучшить процесс реагирования: плейбуки, планы реагирования и т. д.

В списке самых популярных уязвимостей во время отборочного этапа чемпионата также оказались Log2Shell, DrupalGeddon, SamAccountNameSpoofing и ProxyLogon.

Ставьте ❤️, если было полезно.