Экспертиза MaxPatrol SIEM

Веб-шеллы бывает трудно отследить. В отличие от других инструментов для постоянного удаленного доступа, они не устанавливают подключений. Серверная часть веб-шелла может быть небольшой и на первый взгляд безобидной. Например, PHP-версия веб-шелла China Chopper практически идентична этому фрагменту кода:

Тем не менее обнаружить их можно. Мониторинг процессов позволяет отследить, какие веб-серверы выполняют подозрительные действия, например порождают cmd.exe или обращаются к файлам за пределами веб-каталога.

Веб-шелл — это веб-сценарий, который размещается на веб-сервере с открытым доступом и позволяет злоумышленнику использовать этот сервер в качестве шлюза для доступа в сеть. Веб-шелл обеспечивает передачу команд от веб-приложений в серверную операционную систему. Эта аналитика отслеживает запуск исполняемых файлов, собирающих сведения об узле, через любые нетипичные для таких сред веб-службы.

Аналитика 1. Дерево процессов, указывающее на использование веб-шелла

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") (ParentImage="C:\Windows\System32\*w3wp.exe" OR ParentImage="httpd.exe" OR ParentImage="tomcat.exe" OR ParentImage="nginx.exe") (Image="C:\Windows\System32\cmd.exe OR Image="C:\Windows\SysWOW64\cmd.exe" OR Image="C:\Windows\System32\\powershell.exe OR Image="C:\Windows\SysWOW64\\powershell.exe OR Image="C:\Windows\System32\net.exe" OR Image="C:\Windows\System32\hostname.exe" OR Image="C:\Windows\System32\whoami.exe" OR Image="*systeminfo.exe OR Image="C:\Windows\System32\ipconfig.exe")

Средства мониторинга файлов можно использовать для обнаружения изменений в файлах, которые хранятся в веб-каталоге веб-сервера. Если данные изменения не соответствуют обновлениям веб-сервера, это может свидетельствовать о внедрении сценария веб-шелла.

Отслеживайте журналы, сообщения и (или) другие артефакты, создаваемые сторонними приложениями, которые могут указывать на внедрение веб-шеллов на веб-серверы в качестве бэкдоров для обеспечения постоянного доступа к системам. Включите журналирование попыток аутентификации на сервере, а также аномальных шаблонов вредоносного входящего и исходящего трафика на сервере и во внутренней сети .

Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

Отслеживайте необычные потоки сетевых данных. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными.

Отслеживайте изменения в файлах, с помощью которых злоумышленники могут внедрять на веб-серверы веб-шеллы в качестве бэкдоров, чтобы обеспечить постоянный доступ к системам.

По возможности отключите функции веб-технологий, такие как evaI() в PHP, которые могут быть использованы для создания веб-шеллов.

Используя принцип минимальных привилегий, ограничьте привилегии пользователей таким образом, чтобы только авторизованные учетные записи могли изменять сетевые каталоги.