Autor: admin

https://chacker.pl/

Badania nad nowymi zagrożeniami uwzględniają wiele obszarów fioletowego zespołu. Głównymi współautorami są wywiad o zagrożeniach, zespół czerwony, zespoły myśliwskie i reakcja na incydenty. Zespoły te będą współpracować, aby zidentyfikować pojawiające się zagrożenie, takie jak opublikowana luka typu 0-day, nowe informacje na temat techniki wdrażanej w popularnej rodzinie złośliwego oprogramowania lub najnowszy zestaw opublikowanych badań. Zespół ds. analizy zagrożeń zidentyfikuje jak najwięcej informacji na temat tego zagrożenia, a następnie będzie współpracował z zespołem czerwonym i zespołami tropiącymi, aby ustalić, czy będzie to miało wpływ na organizację. Przykładem mogą być luki w zabezpieczeniach programu Microsoft Exchange ujawnione przez firmę Microsoft w marcu 2021 r.1 Oprócz wstępnego ujawnienia ujawniono ograniczone informacje na temat tych luk, ale jeśli obserwowały je zespoły ds. analizy zagrożeń, 10 marca w serwisie GitHub krótko opublikowano komunikat POC, który zawierał działający kod.2 Ten kod mógł zostać pobrany i przekazany zespołowi czerwonemu, który mógłby go przetestować i ustalić, czy działa, czy łatanie powiodło się i jaki poziom uprawnień dał. Stamtąd zespoły myśliwskie mogły ocenić pozostawione kłody, a następnie określić, czy zostały one wykonane przez kogokolwiek innego przeciwko organizacji. Po wprowadzeniu łatek zespół czerwonych mógł ponownie przeprowadzić testy pod kątem środków zaradczych, a zespoły poszukiwawcze mogły ocenić rejestrację po wdrożeniu łatki, aby pomóc w udokumentowaniu, jak by to wyglądało, gdyby atak nastąpił na system z łatką. Wykonywanie tego typu działań zapewniłoby organizacji przewagę pod względem ataków różnych ugrupowań zagrażających, które nastąpiły po POC.

https://chacker.pl/

Fioletowe zespoły istnieją po to, aby wykonywać wspólne działania poprawiające stan bezpieczeństwa organizacji. Może to obejmować niemal wszystko, od wspólnych raportów na temat zaangażowania czerwonych zespołów po kontrole budynków. Z tego powodu nie ma jednej rzeczy, którą robi fioletowy zespół; jednakże istnieją pewne podobieństwa w kwestiach, w których fioletowe drużyny mają wyjątkową pozycję

https://chacker.pl/

To, na czym fioletowe zespoły będą mogły się skupić, częściowo zależy od dojrzałości poszczególnych elementów. Na przykład bez dobrych informacji o zagrożeniach trudno jest określić, na jakich aktorach zagrożeń należy się skupić, bez przeprowadzenia odpowiednich badań. Zależy to również od jakości kontroli, rejestrowania i monitorowania, możliwości przetwarzania tych danych oraz ogólnej wiedzy i zrozumienia zespołów. Często fioletowe zespoły ewoluują, zaczynając skupiać się na obszarze, który jest łatwy do znalezienia, np. wskaźnikach kompromisu, i rozwijają się, aż będą mogły skupić się na TTP. David J. Bianco stworzył Piramidę Bólu pokazaną na rysunku 6-2, aby opisać różne poziomy, na których drużyny defensywne mogą wpłynąć na atakującego. Na najniższym poziomie znajdują się wartości skrótu, gdzie po prostu zmieniając wartość skrótu, atakujący może uniknąć wykrycia. Na szczycie znajdują się TTP, w przypadku których atakujący musiałby zmienić sposób działania, używane narzędzia, a być może nawet cele, które próbuje osiągnąć. Analiza zagrożeń większości organizacji koncentruje się początkowo na trzech najniższych poziomach, czyli IOC łatwo dostępnych za pośrednictwem źródeł informacji o zagrożeniach. Są one często dostępne również dla narzędzi obronnych, więc jeśli haker wejdzie z tego samego miejsca, używając tych samych adresów IP, nazw hostów lub plików wykonywalnych, dość łatwo będzie go zablokować. Fioletowe zespoły zaczynają być skuteczne na poziomie sieci i artefaktów hosta, a następnie pną się w górę. Poziom artefaktów sieci i hosta może obejmować wzorce identyfikatorów URI i użycie określonych portów lub protokołów do komunikacji. Są to rzeczy, które czerwone zespoły często mogą dość łatwo odtworzyć, aby sprawdzić, co jest rejestrowane, a następnie zespoły mogą znaleźć, co rejestrują różne komponenty, i pracować nad tworzeniem lepszych alertów poprzez wyświetlanie tych dzienników jako zdarzenia. Chociaż zmiana numeru portu lub użycie innego schematu URI nie jest trudne, wymaga o wiele więcej wysiłku niż tylko rekompilacja pliku binarnego lub ustawienie nowego adresu IP; dlatego jest to bardziej uciążliwe dla atakującego, co oznacza, że będzie musiał się bardziej postarać, aby uniknąć wykrycia w sieci. W miarę zdobywania umiejętności i procesów zespoły mogą przejść do testowania narzędzi i dokumentowania ich wyglądu w sieci. Narzędzia są przedmiotem zainteresowania, ponieważ są łatwo dostępne i często istnieje wiele informacji na temat sposobu ich użycia. Poza tym niekoniecznie wymagają mnóstwa badań, ale można się przy nich uczyć. Jeśli więc wiesz, że osoba atakująca korzysta z programu PowerShell Empire, uruchomienie go w sieci w celu sprawdzenia, co pozostawia, jak wygląda i sposobów potencjalnego wykrycia jest trudniejsze niż samo przeglądanie dzienników. Nie koncentruje się jednak na działaniu narzędzia; zamiast tego skupia się na tym, co robi. Kiedy zespoły pracują z indywidualnymi TTP, mogą one być niezwykle destrukcyjne dla atakujących. Na przykład obrońca, który rozumie związek pomiędzy kopią pliku za pomocą SMB, wywołaniem DCOM do WMI i wykonaniem procesu z WMIPrvSE, jest w stanie lepiej powstrzymać atak przy użyciu tych komponentów. Indywidualnie mogą one nic nie znaczyć. Razem stanowią one bardzo dokładne wskaźniki pojedynczego ataku wykorzystującego usługę WMI do wykonania ruchu bocznego i opierają się na zachowaniu, a nie na narzędziach. Są one znacznie trudniejsze do zrozumienia i wykonania, co oznacza, że drużyna czerwonych musi mieć możliwość sformułowania wielu sposobów wykonania tego zadania, aby uzyskać rejestrowanie o wyższej jakości, a obrońcy muszą zrozumieć systemy na tyle, aby móc śledzić tę aktywność . Osoby zajmujące się inżynierią wykrywania również muszą być wystarczająco wyrafinowane, aby skorelować te działania, a jeśli celem jest zbudowanie odpowiednich zabezpieczeń, właściciele klientów i serwerów oraz właściciele elementów sterujących muszą być na tyle wyrafinowani, aby móc blokować lub ograniczać tego typu działania , Jeśli to możliwe.

https://chacker.pl/

Zespół fioletowy to skrzyżowanie drużyny czerwonej i niebieskiej. W rzeczywistości nie ma jednej niebieskiej drużyny, tak jak są inne drużyny, które przyczyniają się do sukcesu drużyn czerwonych. Często wiele zespołów tworzy fioletowy zespół, obejmujący zespoły wywiadowcze, reagowania na incydenty, kryminalistykę, inżynierię wykrywania, zespoły łowieckie, czerwone i przywódcze. Zespoły te współpracują ze sobą, aby rozwiązywać problemy i pomagać w zwiększaniu poziomu bezpieczeństwa organizacji.

https://chacker.pl/

Czerwone zespoły konsultantów są zwykle częścią szerszych grup konsultingowych. Zespoły te koncentrują się na testach ofensywnych, które mogą obejmować sprawdzone skanowanie podatności, testy penetracyjne i symulację zagrożeń. Istnieje kilka organizacji, które emulują zagrożenia; są jednak znacznie rzadsze i jeśli firma potrzebuje takiego poziomu zaangażowania, zazwyczaj będzie już budować własne zespoły. Doradztwo zazwyczaj polega na cotygodniowej współpracy z inną firmą, aby pomóc jej odpowiedzieć na pytanie dotyczące jej sieci. Pytania te obejmują: „Czy przestrzegam zasad?” na „Co osoba atakująca mogłaby zrobić w mojej sieci?” Oceny te są zwykle ustalane w oparciu o czas. Zaletą tego typu testów jest to, że co kilka tygodni będziesz miał okazję zobaczyć nowe technologie i inne środowisko. Spędzisz dużo czasu na oswajaniu się z nowymi sieciami, ustalaniu, jak poruszać się po nich i osiąganiu docelowych celów. Poznasz różne stosy technologii, w tym programy antywirusowe, systemy wykrywania włamań, systemy wykrywania i reagowania na punktach końcowych i wiele innych. Wyszukiwanie nowych sposobów na ominięcie i ominięcie tych systemów przypomina bardziej grę. Wadą tego typu spotkań jest to, że większość organizacji, w których testy przeprowadzane są przez firmy konsultingowe, jest mniej dojrzała, a wielu testerów wpada w pułapkę wzorców, dzięki którym mogą w ten sam sposób narazić na szwank wiele organizacji. Mogą oswoić się z pewnymi technikami i nie być zachęcani do rozwijania zestawów umiejętności, ponieważ te, które już posiadają, sprawdzają się przez większość czasu. Może to spowodować, że ludzie staną się nieświeży.   W rezultacie dobrzy konsultanci będą stale uczyć się nowych technik i wykorzystywać je podczas testów, przeprowadzać własne badania dotyczące bezpieczeństwa i nie tylko, aby mieć pewność, że ich umiejętności pozostaną świeże. Można to zrobić w czasie służbowym lub w czasie prywatnym. Często firmy konsultingowe nie mają ustalonych dni pracy; mają wyznaczone terminy wykonania zadań, a testerzy pracują tak długo, jak długo potrzeba, aby dotrzymać tych terminów. Może to oznaczać, że w niektórych tygodniach będziesz musiał przepracować 80 lub więcej godzin, a w innych możesz pracować przez 20 godzin i mieć 20 godzin na badania. Niektóre organizacje przyznają premie w zależności od liczby wykonanych testów; dlatego, aby zmaksymalizować dochody, testerzy mogą pracować więcej godzin, a także próbować znaleźć techniki pracy mądrzejszej, aby zarobić znacznie więcej niż na stanowiskach korporacyjnych. Tego typu prace zazwyczaj wiążą się z częstszymi podróżami i nie wymagają powiadomienia. W rezultacie czasami trudno jest zaplanować wydarzenia rodzinne z dużym wyprzedzeniem i nierzadko konsultanci składają członkom rodziny „wszystkiego najlepszego” za pośrednictwem połączeń Zoom z pokoju hotelowego w innym mieście. Ten rodzaj podróży często wypala testerów i mogą oni udać się na jakiś czas do pracy w korporacji, a następnie albo osiedlić się na stanowisku w korporacji, albo wrócić na jakiś czas do konsultingu, dopóki nie będą potrzebować dodatkowej stabilizacji.

https://chacker.pl/

Korporacyjny czerwony zespół ma miejsce, jak się wydaje, wtedy, gdy tester pracuje dla firmy i spędza czas na testowaniu aktywów tej firmy. Główne zalety korporacyjnego zespołu red teaming to to, że poświęcisz dużo czasu na poznanie swojej firmy od środka i od zewnątrz, a także będziesz w stanie szybciej zapewniać wartość w różnych technologiach, branżach, a nawet zasadach i procedurach. Koncentrując się wyłącznie na poprawie stanu bezpieczeństwa swojej organizacji, możesz być częścią zespołu odpowiedzialnego za poprawę stanu bezpieczeństwa organizacji i przygotowanie organizacji na atak. Ponadto masz możliwość bezpośredniego poprawy zdolności wykrywania i reagowania. Posiadanie czasu na głębsze zagłębienie się w technologie oznacza również, że możesz mieć czas, aby stać się ekspertem w zakresie określonych technologii, stosów technologii lub procesów biznesowych, które dobrze pasują do innych firm. Jednym z przykładów może być sytuacja, gdy Twoja firma dużo korzysta z kontenerów takich jak Containerd, Kubernetes lub Docker, wtedy możesz mieć czas na głębsze zapoznanie się z tymi technologiami i sposobami ich bezpiecznego wdrażania, dzięki czemu staniesz się ekspertem. Wadą tego jest to, że większość organizacji ma dość statyczny stos zabezpieczeń i mimo że od czasu do czasu wprowadzane są nowe technologie, wiele wysiłków będzie polegać na naprawianiu wykrytych zagrożeń i wzmacnianiu tych samych elementów, co zapewnia mniejsze narażenie na szeroki zakres zabezpieczeń produkty i podejścia do bezpieczeństwa. Z tego powodu część wiedzy może nie zostać od razu przeniesiona do innych firm, a jeśli utkniesz w pracy nad konkretnymi technologiami, inne umiejętności mogą się zestarzeć. Większość stanowisk pracy w czerwonych zespołach korporacyjnych wiąże się ze znacznie mniejszą liczbą podróży niż doradztwo, co jest kolejną korzyścią, jeśli nie lubisz podróżować.   Praca w korporacyjnym zespole czerwonych pracowników będzie prawdopodobnie wiązać się z podróżami, ale wiele firm pozwala większej liczbie zespołów czerwonych na pracę zdalną, więc przez większość czasu możesz pracować z domu, okazjonalnie wychodząc do biura. Testy na miejscu w przypadku niektórych technologii nadal będą musiały odbywać się w określonej lokalizacji, ale w przypadku większości organizacji nie jest to zbyt częste.

https://chacker.pl

Dla większości etycznych hakerów, oprócz czerpania przyjemności z pracy, głównym celem jest zarabianie pieniędzy. Mówiliśmy już trochę o nagrodach za błędy w Rozdziale 1, więc skupimy się na bardziej tradycyjnych sposobach zarabiania pieniędzy dzięki dobieraniu drużyn czerwonych. Dwa główne sposoby to korporacyjny red teaming, w którym pracujesz dla firmy w ramach wewnętrznego czerwonego zespołu, oraz dołączenie do firmy konsultingowej i świadczenie usług konsultingowych dla firm, które albo nie mogą sobie pozwolić na własny czerwony zespół, albo szukają niezależną ocenę stanu bezpieczeństwa swojej firmy. Obie opcje mają swoje mocne i słabe strony, a wielu testerów będzie korzystać z obu w trakcie swojej kariery

https://chacker.pl/

Inżynieria wykrywania to proces budowania wykrywania wokół różnych TTP w celu poprawy wykrywania i reagowania. W przypadku drużyny fioletowej może się to rozpocząć od utworzenia przez zespół niebieski wykrycia, a następnie zespół czerwony pracuje nad przetestowaniem i udoskonaleniem tego wykrycia. Może to być również wynikiem przeglądu dziennika i udoskonalenia alertów po przeprowadzeniu symulacji zagrożenia lub emulacji. Fioletowy zespół może pomóc w tworzeniu, udoskonalaniu i testowaniu wykryć, co zapewnia organizacji więcej możliwości wyłapywania atakujących wcześniej w drzewie ataków. Fioletowe łączenie drużyn może być również wykorzystywane w ramach reagowania na pojawiające się zagrożenia. Zapewni to organizacji głębsze zrozumienie sposobu działania pojawiającego się zagrożenia, a także umożliwi wykrycie potencjalnych zagrożeń w odpowiedzi na opublikowanie dowodu słuszności koncepcji (POC) w terminie zerowym oraz wszelkich wiadomości, na które organizacja musi zareagować. W dalszej części tego rozdziału przyjrzymy się bliżej fioletowym zespołom.

https://chacker.pl/

Wcześniej  przedstawiliśmy strukturę MITER ATT&CK, która pomaga kategoryzować różne etapy ataku i umożliwia opisanie taktyk, technik i procedur (TTP) stosowanych przez atakujących. Symulacja i emulacja zagrożeń łączą te drzewa ataków przy użyciu znanych TTP, aby pomóc zidentyfikować słabe punkty kontroli, zasad, praktyk i ludzi w środowisku. Testy te często rozpoczynają się od scenariusza „co będzie, jeśli” z udziałem podmiotu zagrażającego, ustalenia TTP i celu. Pomaga organizacji zrozumieć, co może zobaczyć atakujący, co mogą zobaczyć zespoły obrony i jakie kontrole, jeśli w ogóle, będą przeszkadzać atakującym w osiągnięciu ich celów. Mapując działania na TTP, testerzy mogą pomóc zespołowi niebieskiemu w mapowaniu technik, które działają w środowisku, nie działają w środowisku, i umożliwić tym zespołom mapowanie tych technik na kontrole i źródła danych, które wykrywają lub nie nie wykryć określonej aktywności. Mogą one w późniejszym czasie zostać wykorzystane do dodatkowej aktywności fioletowego zespołu. Symulacja zagrożeń to nie tylko jedna rzecz i jest to jeden z powodów, dla których znajduje się ona wyżej w modelu dojrzałości. Symulacje zagrożeń mogą obejmować połączenie phishingu, hakowania fizycznego, aplikacyjnego, sieciowego i sprzętowego. Symulacja zagrożeń jest podobna do testów penetracyjnych, ale kluczową różnicą jest to, że celem testów nie są po prostu „klejnoty koronne” organizacji, ale raczej przetestowanie ludzi, procesów i technologii organizacji w oparciu o techniki ataku. Symulacje zagrożeń również wymagają więcej planowania niż testy penetracyjne. Często z góry ustala się, jakie TTP zostaną użyte podczas ćwiczenia, i można stworzyć narzędzia, które konkretnie ćwiczą określone TTP, albo w celu określenia ich skuteczności, albo dlatego, że wiadomo, że ich skuteczność jest skuteczna. Po rozpoczęciu ćwiczenia niektóre TTP mogą nie działać lub mogą wystąpić problemy. Być może testerzy będą musieli dostosować lub zmienić TTP, nawet jeśli inne zostały zaplanowane ze względu na ograniczenia czasowe lub nieprzewidziane kontrole. Na przykład, jeśli wykorzystanie WinRM do ruchu bocznego jest zaplanowanym kluczowym TTP, tester może zamiast tego przejść na WMI, jeśli WinRM jest wyłączony w całym przedsiębiorstwie.

UWAGA MITER Attack Navigator (https://mitre-attack.github.io/attacknavigator/) to doskonałe źródło informacji o mapowaniu TTP na potrzeby ćwiczenia. Ma możliwość opisywania TTP, a także wyróżniania tych używanych w ćwiczeniu i eksportowania ich do JSON w celu udostępnienia innym członkom zespołu. Ponadto można nakładać różne warstwy na inne, aby pokazać zakres TTP wykorzystywanych podczas różnych ćwiczeń symulacyjnych zagrożeń, aby skupić się na tym, co działa, a co jeszcze nie zostało przetestowane. Attack Navigator zawiera także łącza do taktyk i technik każdego TTP, dzięki czemu czytelnik może dowiedzieć się więcej na ich temat w oparciu o to, co zostało odwzorowane w ćwiczeniu.

Jeden z przykładów symulacji zagrożenia zaczyna się od tego, że ktoś wkracza do budynku biurowego, podążając za pracownikiem przez otwarte drzwi i wszczepiając fizyczne urządzenie sprzętowe w sieci (T1200). Stamtąd tester może użyć obiektu odpowiadającego do zatrucia LLMNR (T1577.001) w celu zebrania poświadczeń. Stamtąd osoba atakująca może złamać poświadczenia, a następnie użyć WinRM (T1021.006), aby przejść do innych systemów, dopóki tester nie znajdzie systemu z podwyższonymi poświadczeniami. Testerzy następnie zrzucili dane uwierzytelniające z LSASS (T1003.001) za pomocą Mimikatz i przechwycili hasło w postaci zwykłego tekstu dla konta administratora domeny. Mając te poświadczenia, testerzy mogą wykonać DCSync (T1003.006) względem kontrolera domeny, aby pobrać wszystkie poświadczenia domeny i utworzyć Złoty Bilet (T1588.001). Tego biletu można użyć do podszywania się pod użytkownika mającego dostęp do poufnej aplikacji internetowej, a następnie uzyskania dostępu do tej aplikacji za pośrednictwem zaatakowanego systemu poprzez wdrożenie VNC (T1021.005) w celu. Po zalogowaniu się do aplikacji testerzy mogą ukraść i wyeksportować arkusz kalkulacyjny spakowany za pomocą programu PowerShell (T1005.003), przenieść go z powrotem na urządzenie sprzętowe i wysłać go z powrotem do testera przez sieć komórkową (T1008). Emulacja zagrożeń jest podobna do symulacji zagrożeń w tym sensie, że koncentruje się na drzewach ataków i osiąganiu celów, ale głównym wyróżnikiem emulacji zagrożeń jest że emulacja wykonuje te same TTP, co rzeczywiste podmioty zagrażające, w przeciwieństwie do symulacji, które skupiają się wyłącznie na TTP lub celach. Emulowanie określonych protokołów TTP, zwłaszcza oprogramowania niestandardowego, może być trudne i zazwyczaj wymaga bliskiej współpracy z zespołem ds. analizy zagrożeń, który może pomóc w zbadaniu i określeniu, jakich protokołów TTP używa dany podmiot zagrażający. Zazwyczaj w przypadku emulacji zagrożeń tester rozpoczyna od rozpoznania aktorów zagrożeń, które potencjalnie będą atakować organizację klienta. Można tego dokonać na podstawie własnych badań testera lub uzyskać od organizacji zajmującej się badaniem zagrożeń, która może pomóc w dostarczeniu informacji o celach typowym podmiotom zagrażającym. Po wybraniu aktora zagrażającego tester zazwyczaj otrzymuje listę TTP i wskaźników naruszenia bezpieczeństwa (IOC). W dokumentach TTP szczegółowo opisano, w jaki sposób ugrupowanie zagrażające wykonuje różne etapy, od namierzania po eksfiltrację. IOC zazwyczaj zawierają skróty użytego złośliwego oprogramowania. Podczas ćwiczenia polegającego na emulacji zagrożenia tester dostosuje wiedzę do celu i pomoże zidentyfikować rodzaje rzeczy, do których może dążyć podmiot zagrażający, takie jak określone dane, konkretny wpływ lub określony dostęp. Po zidentyfikowaniu potencjalnego celu tester pobierze znane TTP i spróbuje przypisać je do prawdopodobnych łańcuchów ataków. W wielu przypadkach istnieją kroki, które nie są znane w zakresie działania ugrupowania zagrażającego, więc tester uzupełni je prawdopodobnymi TTP, które mają sens w kontekście. Następnie tester sprawdzi, jakie informacje na temat IOC można znaleźć. Jeśli istnieje złośliwe oprogramowanie, można przeprowadzić dodatkową analizę poprzez odwrócenie zespołów .NET, podstawowe odwrócenie plików binarnych lub zapisanie zachowania złośliwego oprogramowania. Jeśli to możliwe, tester może stworzyć lub zmodyfikować narzędzia, aby działały podobnie do tego, co robi znane szkodliwe oprogramowanie, aby testowanie było jak najbardziej realistyczne. Dodanie tych elementów do drzewa ataków pomoże zapewnić, że emulacja będzie jak najbardziej zbliżona do rzeczywistego atakującego.

UWAGA: Pobieranie próbek złośliwego oprogramowania i ich analizowanie może być niebezpieczne. Jeśli nie wiesz, jak bezpiecznie analizować tego typu próbki, zapoznaj się z rozdziałami 4 i 5 tej książki i dowiedz się, jak skonfigurować bezpieczne środowisko analityczne. Niezastosowanie się do tego może spowodować, że zostaniesz narażony na ryzyko ze strony prawdziwego ugrupowania zagrażającego, co może oznaczać bardzo zły dzień.

Jednym z przykładów może być APT33, znany również jako Elfin. Jest to podejrzana grupa irańska, której celem są sektory lotnictwa i energetyki. Dobrym miejscem do rozpoczęcia poszukiwań jest strona MITRE ATT&CK pod adresem https://attack.mitre.org/groups/G0064/. Po przejrzeniu informacji możesz ułożyć drzewo ataków zawierające lokalny przepływ technik aż do uzyskania dostępu do udziałów serwera plików zawierających informacje w Twojej organizacji, które mogą być celem. Patrząc na narzędzia, widzimy, że obecne są zarówno Ruler, jak i Empire, więc prawidłowe drzewo ataków może zaczynać się od rozpylania haseł (T1110.003) przy użyciu Ruler (S0358) przeciwko witrynom programu Outlook Web Access (T1078.004) połączonym z Internetem. Po znalezieniu prawidłowego konta przy użyciu tej techniki tester może zdecydować się na użycie PowerShell Empire (S0363) do poleceń i kontroli (C2) przy użyciu protokołu HTTPS (T1071.001). Aby dostarczyć ładunek, tester może zdecydować się na zbudowanie dokumentu Microsoft Word (T1024.002) zawierającego trojana ze złośliwym makrem napisanym w języku VBA (T1059.005), które uruchamia ładunek programu PowerShell (T1059.001). Po ustaleniu tego tester może utworzyć plik wykonywalny AutoIt (S1029), który można umieścić w klawiszach Uruchom w Rejestrze, aby uruchamiał się po zalogowaniu użytkownika (T1547.001). Ten plik binarny AutoIt może używać ładunków programu PowerShell zakodowanych w formacie Base64 (T1132.001) w celu zapewnienia trwałości. Gdy tester dostanie się do systemu, może użyć Empire do podniesienia uprawnień w celu ominięcia funkcji UAC i uruchomić Mimikatz (T1003.001) w celu zebrania danych uwierzytelniających, a następnie przenieść się w bok, korzystając z przechwyconych danych uwierzytelniających (T1078) do innych systemów. Za pomocą polecenia Net (S0039) tester może zidentyfikować użytkowników, którzy mogą przyznać podwyższony poziom dostępu, a następnie w dalszym ciągu używać Empire do przemieszczania się w bok i zrzucania poświadczeń, dopóki nie znajdą docelowych danych. Po znalezieniu danych docelowych tester może użyć programu WinRAR (T1560.001) do skompresowania i zaszyfrowania danych oraz wysłania ich na kontrolowany przez testera serwer FTP (T1048.003) w celu eksfiltracji. Po przeprowadzeniu symulacji lub emulacji zagrożenia tester zazwyczaj mapuje wszystkie punkty TTP i identyfikuje kody IOC używanych narzędzi oraz plików binarnych uruchomionych w systemach, a następnie przekazuje je zespołowi obrony (zespołowi niebieskiemu), aby spróbował określić, co zostało zaobserwowane, co przeoczone, a co zostało zauważone, ale nie podjęto żadnych działań. Wyniki te pomogłyby organizacji zrozumieć, w jaki sposób ten podmiot zagrażający miałby wpływ na organizację i jakie mechanizmy kontrolne powinny wyłapać część materiału. Najważniejszym wnioskiem jest to, jakie TTP należy wykryć, aby pomóc w proaktywnym wykrywaniu i blokowaniu tych aktorów zagrażających, tak aby organizacja ich wyprzedziła. Wadą tych ćwiczeń jest to, że zazwyczaj wymagają wielu dodatkowych badań, programowania i planowania. Z tego powodu regularne wykonywanie tych testów jest bardzo trudne, chyba że masz duży zespół, który może prowadzić badania i wspierać innych testerów. Testy te dają jednak najbardziej realistyczny obraz tego, jak konkretny podmiot zagrażający będzie wyglądał w Twoim środowisku, jak możesz sobie poradzić z punktu widzenia obrony i reagowania na określone TTP oraz gdzie należy poprawić stan bezpieczeństwa organizacji, aby wykryć i uniemożliwić temu ugrupowaniu zagrażającemu osiągnięcie celów w Twojej sieci.

https://chacker.pl/

Testowanie zazwyczaj rozpoczyna się od rozmowy telefonicznej, podczas której omawiane są z klientem SOW i ROE. Ustalane są ramy czasowe testowania i uwzględniane są wszelkie inne wątpliwości lub tematy związane z testowaniem. Po uzgodnieniu wszystkich tych informacji ustalane są daty testów i tester może rozpocząć planowanie zaangażowania. Wszelkie zmiany w SOW lub ROE muszą być udokumentowane na piśmie, aby uniknąć nieporozumień. Proces ten powinien zostać udokumentowany jako część zasad i procesów zespołowych. Niezależnie od rodzaju testów, istnieje ogólny schemat testów penetracyjnych. Testowanie rozpoczyna się od rozpoznania, które obejmuje badanie przestrzeni IP, nazw DNS i innych aspektów testowania sieci, ale może obejmować wiele innych elementów w przypadku innych typów testów. Na przykład w przypadku testów fizycznych, częścią działań zwiadowczych może być przeglądanie zdjęć z rozpoznania powietrznego w Internecie lub zdjęć opublikowanych w Internecie z wydarzeń odbywających się w danej lokalizacji w celu uzyskania dodatkowych informacji. Stamtąd przeprowadzane jest odkrywanie, skanowanie, eksploatacja i posteksploatacja. Szczegóły tych testów różnią się w zależności od rodzaju testów penetracyjnych; mają one jednak charakter cykliczny. Po dokonaniu nowych odkryć dodatkowe rozpoznanie może rozpocząć dodatkowe kroki w celu ustalenia kolejnego zestawu kroków. O tym procesie napisano całe książki, dlatego skupimy się bardziej na procesie biznesowym niż na procesach technicznych. Po zakończeniu testów rozpoczyna się faza raportowania. Sprawozdawczość powinna zawierać streszczenie mające na celu umożliwienie czytelnikom nietechnicznym przeglądu tego, co raport oznacza dla organizacji. Obejmuje to aspekty wysokiego szczebla, takie jak cele osiągnięte przez testera, ogólny wpływ na organizację oraz ogólną strategię działań naprawczych i poprawy postawy organizacji. Narracja ataku pomaga przedstawić kroki podjęte podczas testowania i może zawierać szczegóły techniczne, które menedżerowie techniczni będą mogli zrozumieć na temat przebiegu ataku. Może to obejmować mapy ataków przedstawiające łańcuch ataków, kroki podjęte w celu osiągnięcia celów testowania, napotkane kontrole i wszelkie wykryte obejścia. Narracja ma na celu opowiedzenie czytelnikowi, co się wydarzyło i jaki był wpływ, a także dać innemu testerowi zrozumienie, jak odtworzyć ten test, jeśli zostanie mu przypisany ponownie. Sekcja raportu z wynikami zawiera listę problemów wykrytych podczas testowania i zazwyczaj zawiera ocenę wpływu, opis ustalenia, kroki umożliwiające jego odtworzenie, zrzuty ekranu służące jako dowód oraz sugestię rozwiązania. W niektórych raportach ocena wpływu może być wymieniona jako ryzyko, ale ponieważ niektórych elementów ryzyka nie można obliczyć, w rzeczywistości jest to postrzegany wpływ na środowisko. Dobry raport będzie zawierał opis sposobu obliczania tego wpływu, tak aby czytelnik mógł zrozumieć, co oznaczają oceny w kontekście. Ustalenia te powinny dotyczyć aktywów lub obszarów środowiska, na które mają wpływ, i powinny ograniczać się do jednej kwestii. Problemy, które wymagają rozwiązania wielu osób, mniej pomagają firmie, ponieważ nie można ich łatwo przypisać do grupy w celu rozwiązania. Raporty mogą zawierać inne elementy, w zależności od tego, o co jeszcze poprosi klient, takie jak informacje o datach, SOW, ROE, ograniczeniach testów, ewentualnych wynikach skanowania i inne aspekty, które zespół testujący uwzględnia we wszystkich swoich raportach. Raporty te powinny być jasne, zwięzłe i zrozumiałe dla docelowych odbiorców. W razie potrzeby mogą zostać udostępnione dodatkowe łącza, które pomogą czytelnikowi zrozumieć, jak rozwiązać problemy. Ten raport stanowi prawdziwą wartość w testowaniu i chociaż samo testowanie jest pomocne, bez raportu dotyczącego jakości uzyskanie trakcji w celu naprawienia problemów może być trudne i obniży jakość testowania.