Этап 1. Разведка.
Метод М.1: Cканирование сетевого периметра
Описание
Нарушитель может проводить сканирование сетевого периметра для сбора информации, которую он может использовать для достижения своих целей.
Нарушитель изучает информационную инфраструктуру своей жертвы с помощью сетевого сканирования, общедоступной информации. Этот метод отличается от других тем, что при его осуществлении не происходит прямого контакта с жертвой, а используются источники, которые может получить нарушитель в открытом доступе и имеющимися открытыми средствами.
Информация, которую собрал нарушитель может указать на наличие у жертвы возможностей продолжить разведку и выявить уязвимости на сетевом периметре жертвы.
Способы реализации
СР.3: Сканирование перечнем из словаря (базы)
Нарушители могут многократно проверять инфраструктуру с помощью методов перебора и сканирования. Хотя этот метод использует те же методы, что и обычный перебор, его цель — идентификация контента и инфраструктуры, а не обнаружение действительных учётных данных. Списки слов, используемые при таком сканировании, могут содержать общие, часто используемые имена и расширения файлов или термины, характерные для конкретного программного обеспечения. Нарушители также могут создавать собственные списки слов для конкретных целей, используя данные, собранные с помощью других методов разведки (например, сбор информации об организации-жертве или поиск веб-сайтов, принадлежащих жертве).
Например, нарушители могут использовать инструменты для поиска веб-контента, такие как Dirb, DirBuster и GoBuster, а также общие или пользовательские списки слов для перечисления страниц и каталогов веб-сайта. Это может помочь им обнаружить старые уязвимые страницы или скрытые административные порталы, которые могут стать целью дальнейших операций (например, использование общедоступного приложения или метод перебора).
Поскольку в решениях для облачного хранения данных обычно используются глобально уникальные имена, нарушители могут также использовать списки слов для конкретных целей и такие инструменты, как s3recon и GCPBucketBrute, для перечисления общедоступных и частных сегментов в облачной инфраструктуре. После обнаружения объектов хранения нарушители могут использовать данные из облачного хранилища для доступа к ценной информации, которую можно похитить или использовать для повышения привилегий и горизонтального перемещения.
Сроки реализации
От нескольких месяцев до дней.
Угрозы
ФСТЭК: УБИ.098: Угроза обнаружения открытых портов и идентификации привязанных к ним сетевых служб
ФСТЭК: УБИ.099 Угроза обнаружения хостов
ФСТЭК: УБИ.104 Угроза определения топологии вычислительной сети
ФСТЭК: УБИ.151 Угроза сканирования веб-сервисов, разработанных на основе языка описания WSDL
ИСО: УгЧЛФ-13-ИСО: Вмешательство в программное обеспечение
ИСО: УгЧЛФ-25-ИСО: Отправка или распространение вредоносных программ
Типы активов
ТА.1: Автоматизированное рабочее место
ТА.2: Сервер
ТА.5: Устройство интернета-вещей
ТА.6: Активное сетевое оборудование
ТА.8: Телефония (VoIP, GSM)
ТА.9: Средства защиты информации
ТА.10: Мобильное устройство
Уязвимости
УяПО-02-ИСО: Известные ошибки в программном обеспечении
УяПО-05-ИСО: Недостаточная настройка журналов для целей аудита
УяПО-07-ИСО: Широко распространенное программное обеспечение
УяПО-11-ИСО: Неправильная настройка параметров
УяПО-16-ИСО: Включены неиспользуемые службы
УяСО-09-ИСО: Неадекватное управление сетью (устойчивость маршрутизации)
УяСО-10-ИСО: Незащищенные подключения к общедоступной сети
Нарушитель
НВ-НП: Внешний нарушитель с низким потенциалом
ДП: Действие преднамеренное
Обнаружение
Следите за подозрительным сетевым трафиком, который может указывать на сканирование, например, за большим количеством запросов из одного источника (особенно если известно, что этот источник связан со нарушителями/ботнетом).
Меры защиты
МЗ-5.6-ИСО: Контакты с профессиональными сообществами
МЗ-8.7-ИСО: Защита от вредоносных программ
МЗ-8.8-ИСО: Устранение технических уязвимостей
МЗ-8.32-ИСО: Управление изменениями
МЗ-АУД.2-ФСТЭК: Анализ уязвимостей и их устранение
МЗ-АУД.5-ФСТЭК: Контроль и анализ сетевого трафика
МЗ-АУД.7-ФСТЭК: Мониторинг безопасности
МЗ-АВЗ.2-ФСТЭК: Антивирусная защита электронной почты и иных сервисов
МЗ-АВЗ.4-ФСТЭК: Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
МЗ-СОВ.1-ФСТЭК: Обнаружение и предотвращение компьютерных атак
МЗ-УКФ.2-ФСТЭК: Управление изменениями