شناسایی و بررسی حملات سایبری با فناوری NDR

نگاهی کاربردی به Kaspersky KATA NDR Enhanced

یک ارتباط غیرعادی از سرور مالی به اینترنت، تلاش یک کامپیوتر برای دسترسی به چند سرور داخلی یا فایل مشکوکی که از طریق ایمیل وارد سازمان شده است، هرکدام می‌توانند نقطه شروع بررسی یک حمله، باشند. اگرچه، تشخیص اهمیت این اتفاق‌ها همیشه آسان نیست. بخشی از آن‌ها به فعالیت عادی کاربران و نرم‌افزارها مربوط می‌شوند و بخشی ممکن است نشانه حضور مهاجم در شبکه باشند.

برای تیم امنیت، مسئله صرفا دریافت هشدار نیست، بلکه باید مشخص شود چه اتفاقی افتاده، کدام سیستم‌ها درگیر هستند و بررسی را از کجا باید ادامه داد. مشاهده ارتباطات شبکه، تحلیل فایل‌های مشکوک و دسترسی به شواهد مرتبط، به پاسخ دادن به این پرسش‌ها کمک می‌کند.

راهکار Kaspersky KATA NDR Enhanced برای شناسایی و بررسی تهدیدهای پیچیده طراحی شده است. این محصول با تحلیل ترافیک شبکه و استفاده از فناوری‌هایی مانند تشخیص نفوذ، تحلیل رفتار و Sandbox، اطلاعات موردنیاز برای بررسی فعالیت‌های مشکوک را در اختیار تیم امنیت قرار می‌دهد.

اهمیت بررسی ارتباطات داخل شبکه

بسیاری از سازمان‌ها برای کنترل دسترسی به اینترنت و حفاظت از کامپیوترها و سرورها، فایروال و ابزارهای امنیتی نصب کرده‌اند. در کنار این کنترل‌ها، مشاهده ارتباطات بین سیستم‌های داخلی هم، اهمیت دارد. اگر مهاجم به یک سیستم دسترسی پیدا کند، ممکن است از همان نقطه برای شناسایی سرورها، دسترسی به منابع دیگر یا انتقال اطلاعات به خارج از سازمان استفاده کند.

برای مثال، کامپیوتری که معمولاً فقط با چند سامانه مشخص ارتباط دارد، ناگهان به تعداد زیادی سیستم داخلی درخواست اتصال ارسال می‌کند. این تغییر به‌تنهایی وقوع حمله را ثابت نمی‌کند، اما لازم است علت آن بررسی شود: آیا ابزار مدیریتی جدیدی نصب شده است؟ آیا این فعالیت بخشی از اقدامات واحد فناوری اطلاعات است؟ یا مهاجمی در حال شناسایی سیستم‌های شبکه است؟

قابلیت‌های تشخیص و پاسخ در شبکه، یا NDR، در KATA به بررسی چنین فعالیت‌هایی کمک می‌کنند. کسپرسکی در توسعه این محصول، تحلیل ترافیک بین سیستم‌های داخلی و شناسایی نشانه‌های حرکت مهاجم در شبکه و خروج اطلاعات را اولویت قرار داده است. نقشه ارتباطات و جدول نشست‌های شبکه نیز به تحلیلگر کمک می‌کنند ارتباط میان سیستم‌ها را بهتر بررسی کند.

KATA چه اطلاعاتی را بررسی می‌کند؟

یکی از روش‌های تأمین داده برای KATA، ارسال نسخه‌ای از ترافیک شبکه از طریق قابلیت SPAN تجهیزات شبکه است. در این روش، ترافیک برای تحلیل در اختیار سنسور قرار می‌گیرد. بسته به تنظیمات، اطلاعات پروتکل‌هایی مانند DNS، HTTP، SMTP و SMB بررسی می‌شوند و فایل ها و اطلاعات موردنیاز از آن‌ها استخراج می‌شود.

محل دریافت ترافیک در نتیجه کار تأثیر مستقیم دارد. اگر فقط ترافیک ارتباط با اینترنت به محصول برسد، نباید انتظار داشت تمام ارتباطات بین سرورهای داخلی هم دیده شوند. بنابراین، پیش از استقرار باید مشخص شود کدام بخش‌های شبکه اهمیت بیشتری دارند و سنسورها چگونه به داده‌های آن‌ها دسترسی خواهند داشت.

در مورد ارتباطات رمزگذاری‌شده نیز باید میان مشاهده مشخصات ارتباط و بررسی محتوای آن تفاوت قائل شد. برای تحلیل محتوای SSL/TLS، KATA امکان دریافت ترافیک رمزگشایی‌شده از ابزارهای دیگر را دارد. این موضوع باید در طراحی فنی و با توجه به الزامات محرمانگی سازمان بررسی شود.

بررسی فایل مشکوک در Sandbox

گاهی بررسی یک فایل به اطلاعات بیشتری از نام، پسوند یا سابقه شناخته‌شده آن نیاز دارد. ممکن است فایل در ظاهر یک سند کاری باشد، اما پس از اجرا رفتار دیگری نشان دهد. برای مثال، برنامه‌ای را اجرا کند یا ارتباطی با یک مقصد بیرونی برقرار کند.

Sandbox محیطی جداشده برای اجرای کنترل‌شده و بررسی رفتار فایل‌های مشکوک فراهم می‌کند. در KATA، این تحلیل می‌تواند شواهد بیشتری برای تصمیم‌گیری درباره ماهیت فایل در اختیار کارشناس قرار دهد. ارزش این قابلیت در آن است که بررسی از ظاهر فایل فراتر می‌رود و رفتار مشاهده‌شده آن نیز در ارزیابی دخالت داده می‌شود.

در یک سناریوی فرضی، فایل دریافتی از طریق ایمیل برای بررسی به Sandbox ارسال می‌شود. اگر رفتار مشکوکی مشاهده شود، تحلیلگر می‌تواند بررسی کند آیا ارتباطات مرتبط با آن در شبکه سازمان نیز وجود داشته‌اند یا خیر. این بررسی به پاسخ دادن به پرسشی عملی کمک می‌کند: آیا فقط با یک فایل مشکوک روبه‌رو هستیم یا نشانه‌هایی از فعالیت آن در محیط سازمان هم دیده می‌شود؟ امکان دنبال کردن این مسیر به داده‌های جمع‌آوری‌شده و یکپارچگی اجزای راهکار وابسته است.

مشاهده ارتباط مشکوک و بررسی نگاهی کاربردی به Kaspersky KATA NDR Enhanced

اطلاعات شبکه نشان می‌دهد چه سیستم‌هایی با یکدیگر ارتباط داشته‌اند. برای فهمیدن اینکه روی یک کامپیوتر چه برنامه‌ای اجرا شده یا کدام فرایند ارتباط را ایجاد کرده است، اطلاعات Endpoint ها نیز اهمیت پیدا می‌کند.

KATA قابلیت یکپارچگی با راهکارهای امنیتی کسپرسکی، از جمله Kaspersky Next EDR Expert را دارد. ترکیب اطلاعات شبکه و نقاط‌پایانی به تحلیلگر امکان می‌دهد بررسی را با جزئیات بیشتری ادامه دهد. برای نمونه، ارتباط مشکوکی که در شبکه دیده شده است، می‌تواند مبنای بررسی فعالیت‌های سیستم مبدأ قرار گیرد.

در طراحی، راهکار باید روشن باشد کدام قابلیت‌ها از بخش شبکه تأمین می‌شوند و کدام اقدامات به EDR یا اتصال به ابزارهای دیگر نیاز دارند. دریافت نسخه‌ای از ترافیک، به‌خودی‌خود به معنای امکان قطع همان ارتباط نیست. برای مهار تهدید، مسیر اجرای پاسخ نیز باید از قبل مشخص و تنظیم شده باشد.

برای مثال، کسپرسکی در نسخه 8 KATA امکان اتصال به فایروال‌های Third-party برای اعمال قواعد مسدودسازی را معرفی کرده است. چنین قابلیتی نشان می‌دهد تحلیل و اقدام می‌توانند به یکدیگر متصل شوند، اما اجرای آن به وجود محصول سازگار و پیکربندی صحیح وابسته است.

بررسی اتفاقی که قبلاً رخ داده است

همه بررسی‌های امنیتی هم‌زمان با وقوع حادثه انجام نمی‌شوند. گاهی یک مقصد مخرب تازه شناسایی می‌شود یا اطلاعات جدیدی درباره یک حمله منتشر می‌شود. در این شرایط، تیم امنیت باید بتواند ارتباطات گذشته را نیز بررسی کند.

KATA امکان ذخیره ترافیک دریافت‌شده در قالب PCAP را فراهم می‌کند تا برای بررسی‌های بعدی استفاده شود. کارایی این قابلیت به فعال بودن ثبت ترافیک، فضای ذخیره‌سازی و مدت نگهداری داده‌ها بستگی دارد.

در نسخه ۸، امکان بارگذاری و تحلیل مجدد فایل‌های PCAP با سامانه های تشخیص و قواعد به‌روز نیز اضافه شده است. به این ترتیب، ترافیکی که قبلاً ثبت شده می‌تواند با اطلاعات جدید دوباره بررسی شود، موضوعی که هنگام تحقیق درباره حادثه یا ارزیابی نشانه‌های تازه یک تهدید کاربرد دارد.

پیش از انتخاب KATA چه چیزهایی باید مشخص شوند؟

ارزیابی این محصول بهتر است با چند پرسش روشن آغاز شود: سازمان در کدام بخش شبکه دید کافی ندارد؟ کدام سرورها و ارتباطات حساس‌تر هستند؟ چه کسی هشدارها را بررسی خواهد کرد؟ و در صورت تأیید تهدید، چه اقدامی باید انجام شود؟

حجم ترافیک، تعداد و محل سنسورها، ظرفیت تحلیل فایل‌ها و مدت نگهداری اطلاعات نیز باید در طراحی لحاظ شوند. به همان اندازه، داشتن مسئول مشخص برای بررسی هشدارها اهمیت دارد. حتی اطلاعات دقیق هم زمانی به کاهش ریسک کمک می‌کنند که بررسی شوند و نتیجه آن‌ها به اقدام برسد.

برای ارزیابی عملی می‌توان چند سناریوی متناسب با محیط سازمان تعریف کرد: مانند ارتباط با یک مقصد مشکوک، تلاش برای دسترسی غیرعادی به سیستم‌های داخلی یا بررسی یک فایل در Sandbox. معیار ارزیابی فقط تولید هشدار نیست. باید دید اطلاعات ارائه‌شده چقدر به تشخیص سیستم درگیر، فهمیدن علت هشدار و تصمیم‌گیری درباره اقدام بعدی کمک می‌کنند.

سازمان‌هایی که بررسی KATA را در برنامه دارند، می‌توانند نیازهای خود را با تیم فنی ایمن آزما افزار مطرح کنند تا دامنه پایش، اجزای موردنیاز و سناریوهای ارزیابی مشخص شوند. شروع از یک مسئله واضح، مانند کمبود دید نسبت به ارتباطات داخلی، کمک می‌کند نتیجه ارزیابی قابل‌سنجش باشد و انتخاب راهکار بر اساس نیاز واقعی سازمان انجام شود.