T1059.008: Интерпретаторы командной строки сетевых устройств

Злоумышленники могут использовать сценарии или встроенные интерпретаторы командной строки (CLI) на сетевых устройствах для выполнения вредоносных команд и нагрузок. CLI — основное средство взаимодействия пользователей и администраторов с устройством, позволяющее просматривать информацию о системе, вносить изменения в работу устройства и выполнять задачи диагностики и администрирования. Как правило, интерпретаторы командной строки требуют различных уровней разрешений для разных команд.

Интерпретаторы сценариев автоматизируют задачи и расширяют функциональность сверх стандартного набора команд, включенных в сетевую ОС. Интерпретаторы командной строки и сценариев доступны через прямое подключение к консоли или удаленно, например через telnet или SSH.

Злоумышленники могут использовать сетевые CLI для внесения изменений в поведение и работу сетевых устройств. CLI могут быть использованы для манипулирования потоками трафика с целью перехвата или подмены данных, изменения параметров конфигурации при запуске системы с целью загрузки вредоносного системного ПО либо для отключения защитных средств или ведения журналов во избежание обнаружения.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

eltex: PT-CR-2322: Eltex_logging_to_untrusted_host: Настроена отправка журналов на недоверенный узел
network_devices_compromise: PT-CR-570: Cisco_ASA_logging_usernames_outside: На устройстве Cisco ASA настроена отправка имен пользователей на недоверенный узел
network_devices_compromise: PT-CR-572: Cisco_execute_suspicious_command: На устройстве Cisco IOS выполнена подозрительная команда
network_devices_compromise: PT-CR-578: Cisco_ASA_logging_to_untrusted_host: На устройстве Cisco ASA настроена отправка журналов на недоверенный узел
network_devices_compromise: PT-CR-1817: S_Terra_Gate_logging_to_untrusted_host: Настроена отправка журналов на недоверенный узел
network_devices_compromise: PT-CR-2128: Cumulus_logging_to_untrusted_host: Настроена отправка журналов на недоверенный узел

Способы обнаружения

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	По возможности отслеживайте историю команд в консоли или команды, сохраненные в оперативной памяти, чтобы выявить изменения конфигурации устройства, выполненные с помощью несанкционированных или подозрительных команд . По возможности сравнивайте копию конфигурации сетевого устройства с известной легитимной копией, чтобы обнаружить несанкционированные изменения интерпретатора командной строки. Для этого можно также выполнять сравнение с динамически выделяемой памятью, но это довольно сложная задача, которая может потребовать привлечения поставщика.

ID	Источник и компонент данных	Описание
DS0017	Команда: Выполнение команд	По возможности отслеживайте историю команд в консоли или команды, сохраненные в оперативной памяти, чтобы выявить изменения конфигурации устройства, выполненные с помощью несанкционированных или подозрительных команд . По возможности сравнивайте копию конфигурации сетевого устройства с известной легитимной копией, чтобы обнаружить несанкционированные изменения интерпретатора командной строки. Для этого можно также выполнять сравнение с динамически выделяемой памятью, но это довольно сложная задача, которая может потребовать привлечения поставщика.

Меры противодействия

ID	M1038	Название	Защита от выполнения	Описание	TACACS+ позволяет контролировать, какие команды разрешено использовать администраторам, с помощью настройки аутентификации и авторизации команд .

ID	M1026	Название	Управление привилегированными учетными записями	Описание	Использование систем аутентификации, авторизации и учета (AAA) ограничит действия администраторов и обеспечит историю действий пользователей для выявления несанкционированного использования и злоупотреблений. TACACS+ позволяет контролировать, какие команды разрешено использовать администраторам, с помощью настройки аутентификации и авторизации команд.

ID	M1018	Название	Управление учетными записями	Описание	Использование систем аутентификации, авторизации и учета (AAA) ограничит пользователей и предоставит историю их действий, что позволит обнаруживать злоупотребления. К учетным записям и группам должен применяться принцип минимальных привилегий, чтобы вносить изменения в настройки могли только авторизованные пользователи .

ID	Название	Описание
M1038	Защита от выполнения	TACACS+ позволяет контролировать, какие команды разрешено использовать администраторам, с помощью настройки аутентификации и авторизации команд .
M1026	Управление привилегированными учетными записями	Использование систем аутентификации, авторизации и учета (AAA) ограничит действия администраторов и обеспечит историю действий пользователей для выявления несанкционированного использования и злоупотреблений. TACACS+ позволяет контролировать, какие команды разрешено использовать администраторам, с помощью настройки аутентификации и авторизации команд.
M1018	Управление учетными записями	Использование систем аутентификации, авторизации и учета (AAA) ограничит пользователей и предоставит историю их действий, что позволит обнаруживать злоупотребления. К учетным записям и группам должен применяться принцип минимальных привилегий, чтобы вносить изменения в настройки могли только авторизованные пользователи .