T1072: Средства развертывания ПО

Злоумышленники могут получить доступ к установленному в корпоративной инфраструктуре ПО для централизованного управления и использовать его для выполнения команд и продвижения внутри сети. Для выполнения рутинных задач администрирования в корпоративной сети или облачной среде могут использоваться приложения для управления настройками и развертыванием ПО. Такие системы также могут интегрироваться в цепочки CI/CD. К таким решениям относятся, в частности: SCCM, HBSS, Altiris, AWS Systems Manager, Microsoft Intune, Azure Arc и GCP Deployment Manager.

Получив доступ к программному обеспечению для управления конечными точками в масштабе локальной сети или предприятия, злоумышленник может выполнять код на всех подключенных системах в удаленном режиме. Имея такой доступ, злоумышленник может перемещаться между системами системам, собирать информацию или выполнять другие действия, например удалять данные с жестких дисков на всех конечных точках.

SaaS-сервисы управления конфигурациями позволяют использовать широкий спектр средств администрирования облака на облачных экземплярах, а также выполнять произвольные команды на локальных конечных точках. Например, Microsoft Configuration Manager позволяет глобальным администраторам или администраторам Intune запускать сценарии от имени учетной записи SYSTEM на локальных устройствах, подключенных к Azure AD. Такие сервисы могут также использовать веб-протоколы для взаимодействия с инфраструктурой злоумышленников.

На устройствах сетевой инфраструктуры могут быть развернуты инструменты управления конфигурациями, которые злоумышленники могут использовать аналогичным образом.

Разрешения, необходимые для выполнения этого действия, зависят от конфигурации системы; для прямого доступа к сторонней системе может быть достаточно локальных учетных данных либо могут потребоваться учетные данные определенного домена. Кроме того, для входа в систему или доступа к отдельным функциям может потребоваться учетная запись администратора.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol Carbon

MaxPatrol Carbon автоматически рассчитывает потенциальные маршруты злоумышленника до целевых систем. Маршруты могут отображать сценарии использования средств развертывания ПО.

Примеры действий злоумышленника

Компрометация конечных устройств после захвата сервера управления KSC
Компрометация конечных устройств через групповые политики после захвата контроллера домена
Компрометация конечных устройств после захвата сервера управления SCCM

Способы обнаружения

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Отслеживайте запуск новых процессов, которые не связаны с известными безвредными программами. Анализируйте деревья выполнения процессов, историю активности сторонних приложений (в частности, какие типы файлов они обычно отправляют), а также действия или события, являющиеся результатом попадания сценариев, бинарных и других файлов в систему.

ID	DS0015	Источник и компонент данных	Журналы приложений: Содержимое журналов приложений	Описание	Многие сторонние приложения ведут собственные журналы, которые можно сопоставлять с другими данными, собранными из окружения. Проследите, чтобы журналы сторонних приложений были интегрированы в корпоративную систему журналирования, и обеспечьте их регулярный анализ. Проверяйте журналы развертывания ПО на предмет подозрительной и несанкционированной активности. Подозрительной может считаться система, которая обычно не используется для установки программного обеспечения на клиенты, но неожиданно начинает выполнять такие действия вне циклов административных задач. Отслеживайте входы в учетные записи этих приложений, чтобы обнаружить подозрительные или аномальные случаи использования. Развертывайте приложения в определенные сроки, чтобы выявлять подозрительные развертывания, выполненные в другие периоды.

ID	Источник и компонент данных	Описание
DS0009	Процесс: Создание процесса	Отслеживайте запуск новых процессов, которые не связаны с известными безвредными программами. Анализируйте деревья выполнения процессов, историю активности сторонних приложений (в частности, какие типы файлов они обычно отправляют), а также действия или события, являющиеся результатом попадания сценариев, бинарных и других файлов в систему.
DS0015	Журналы приложений: Содержимое журналов приложений	Многие сторонние приложения ведут собственные журналы, которые можно сопоставлять с другими данными, собранными из окружения. Проследите, чтобы журналы сторонних приложений были интегрированы в корпоративную систему журналирования, и обеспечьте их регулярный анализ. Проверяйте журналы развертывания ПО на предмет подозрительной и несанкционированной активности. Подозрительной может считаться система, которая обычно не используется для установки программного обеспечения на клиенты, но неожиданно начинает выполнять такие действия вне циклов административных задач. Отслеживайте входы в учетные записи этих приложений, чтобы обнаружить подозрительные или аномальные случаи использования. Развертывайте приложения в определенные сроки, чтобы выявлять подозрительные развертывания, выполненные в другие периоды.

Меры противодействия

ID	M1015	Название	Конфигурация Active Directory	Описание	Обеспечьте надлежащую изоляцию систем и доступа для критически важных систем с помощью групповой политики.

ID	M1017	Название	Обучение пользователей	Описание	Внедрите строгую политику одобрения для использования систем развертывания.

ID	M1018	Название	Управление учетными записями	Описание	Проследите, чтобы все учетные записи, используемые сторонними поставщиками для доступа к системам, можно было отследить, и чтобы они не использовались по всей сети либо другими сторонними поставщиками в той же среде. Регулярно проверяйте, что учетные записи с доступом к системам реально имеют потребность в таком доступе, а также что система отзыва доступа, который больше не требуется, существует и работает. Ограничьте доступ к критически важным сетевым системам с помощью разделения привилегий учетных записей.

ID	M1026	Название	Управление привилегированными учетными записями	Описание	Предоставляйте доступ к системам развертывания приложений только ограниченному числу авторизованных администраторов.

ID	M1027	Название	Парольные политики	Описание	Проследите, чтобы учетные данные, которые могут использоваться для доступа к системам развертывания, были уникальны и не использовались больше нигде в корпоративной сети.

ID	M1029	Название	Удаленное хранение данных	Описание	Если система развертывания приложений может быть настроена на развертывание только подписанных бинарных файлов, проследите, чтобы доверенные сертификаты подписи не находились вместе с системой развертывания приложений, а были расположены на системе, к которой нет удаленного доступа или удаленный доступ к которой строго контролируется.

ID	M1030	Название	Сегментация сети	Описание	Обеспечьте надлежащую изоляцию критически важных сетевых систем с помощью межсетевых экранов.

ID	M1032	Название	Многофакторная аутентификация	Описание	Обеспечьте надлежащую изоляцию систем и доступа для критически важных сетевых систем с помощью многофакторной аутентификации.

ID	M1033	Название	Ограничение установки программного обеспечения	Описание	Ограничьте использование ПО сторонних производителей, установленного в корпоративной сети.

ID	M1051	Название	Обновление ПО	Описание	Регулярно обновляйте системы развертывания, чтобы закрыть возможность удаленного доступа через эксплуатацию уязвимостей для повышения привилегий.

ID	Название	Описание
M1015	Конфигурация Active Directory	Обеспечьте надлежащую изоляцию систем и доступа для критически важных систем с помощью групповой политики.
M1017	Обучение пользователей	Внедрите строгую политику одобрения для использования систем развертывания.
M1018	Управление учетными записями	Проследите, чтобы все учетные записи, используемые сторонними поставщиками для доступа к системам, можно было отследить, и чтобы они не использовались по всей сети либо другими сторонними поставщиками в той же среде. Регулярно проверяйте, что учетные записи с доступом к системам реально имеют потребность в таком доступе, а также что система отзыва доступа, который больше не требуется, существует и работает. Ограничьте доступ к критически важным сетевым системам с помощью разделения привилегий учетных записей.
M1026	Управление привилегированными учетными записями	Предоставляйте доступ к системам развертывания приложений только ограниченному числу авторизованных администраторов.
M1027	Парольные политики	Проследите, чтобы учетные данные, которые могут использоваться для доступа к системам развертывания, были уникальны и не использовались больше нигде в корпоративной сети.
M1029	Удаленное хранение данных	Если система развертывания приложений может быть настроена на развертывание только подписанных бинарных файлов, проследите, чтобы доверенные сертификаты подписи не находились вместе с системой развертывания приложений, а были расположены на системе, к которой нет удаленного доступа или удаленный доступ к которой строго контролируется.
M1030	Сегментация сети	Обеспечьте надлежащую изоляцию критически важных сетевых систем с помощью межсетевых экранов.
M1032	Многофакторная аутентификация	Обеспечьте надлежащую изоляцию систем и доступа для критически важных сетевых систем с помощью многофакторной аутентификации.
M1033	Ограничение установки программного обеспечения	Ограничьте использование ПО сторонних производителей, установленного в корпоративной сети.
M1051	Обновление ПО	Регулярно обновляйте системы развертывания, чтобы закрыть возможность удаленного доступа через эксплуатацию уязвимостей для повышения привилегий.