Экспертиза MaxPatrol SIEM

Отслеживайте попытки доступа к файлам, которые могут использоваться для поиска в локальных файловых системах и удаленных общих ресурсах файлов с недостаточно надежно защищенными учетными данными. Отследить попытки доступа к этим файлам сложно, если вы достоверно не знаете о проникновении в систему, однако вы можете отслеживать несанкционированное использование существующих учетных записей.

Можно обнаружить использование злоумышленниками учетных данных, например, полученных из существующих учетных записей.

Отслеживайте зарегистрированную в журналах активность, которая может указывать на попытки доступа злоумышленников к данным приложений, особенно аномальную активность, связанную с поиском паролей, и другие артефакты, связанные с учетными данными.

Отследить попытки доступа к этим файлам сложно, если вы достоверно не знаете о проникновении в систему, однако вы можете отслеживать несанкционированное использование существующих учетных записей. Отслеживайте выполнение команд с аргументами, которые могут использоваться для запуска процессов с целью поиска паролей, по подозрительным словам и регулярным выражениям (например, password, pwd, login, secure или credentials). Подробнее см. в описании техники Существующие учетные записи.

Отслеживайте запуск новых процессов, которые могут искать в локальных и удаленных хранилищах файлы с недостаточно защищенными учетными данными.

Примечание. События, используемые в псевдокоде, регистрируются в Sysmon (событие с ИД 1: создание процесса) и журнале безопасности Windows (событие с ИД 4688: создание нового процесса). Анализ отслеживает командные строки, выполняющие поиск недостаточно надежно защищенных учетных данных в реестре Windows. Для этого могут использоваться функции поиска в системной утилите Reg, которые ищут строки вроде "password" в ключах и их значениях. Кроме того, для получения дампа учетных данных из различных приложений, например IIS, злоумышленники могут воспользоваться готовым набором инструментов, таким как PowerSploit. Соответственно, этот анализ отслеживает использование утилиты reg.exe с указанной целью, а также запуск нескольких модулей PowerSploit с аналогичной функциональностью.

Анализ 1. Учетные данные в файлах и реестре

(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688")
CommandLine="reg query HKLM /f password /t REG_SZ /s*" OR CommandLine="reg* query HKCU /f password /t REG_SZ /s" OR CommandLine="Get-UnattendedInstallFile" OR CommandLine="*Get-Webconfig" OR CommandLine="Get-ApplicationHost" OR CommandLine="Get-SiteListPassword" OR CommandLine="Get-CachedGPPPassword" OR CommandLine="Get-RegistryAutoLogon"

Отслеживайте нетипичные попытки доступа к ключам реестра Windows, с помощью которых злоумышленники могут искать недостаточно надежно защищенные учетные данные в скомпрометированной системе.

Удалите уязвимые параметры групповой политики.

Проследите, чтобы разработчики и системные администраторы знали о риске, связанном с наличием паролей в открытом виде в файлах конфигурации программного обеспечения, которые могут быть оставлены на конечных устройствах или серверах.

Ограничьте общие файловые ресурсы определенными каталогами с доступом только для необходимых пользователей.

Используйте принцип наименьших привилегий для привилегированных учетных записей, таких как учетная запись службы в Kubernetes. Например, если модуль не нужен для доступа к API Kubernetes, подумайте об отключении учетной записи службы вообще.

Установите в организации политику, запрещающую хранить пароли в файлах.

Существует несколько способов предотвратить запись истории команд пользователя в его файл .bash_history, включая использование следующих команд: set +o history и set -o history для возобновления записи; добавление unset HISTFILE в файл .bash_rc пользователя; ln -s /dev/null ~/.bash_history для записи команд в /dev/null вместо этого файла.

Ограничьте взаимодействие со службой контейнера управляемыми и защищенными каналами, такими как локальные сокеты Unix или удаленный доступ через SSH. Требуйте безопасного доступа к портам для связи с API по TLS, отключив неаутентифицированный доступ к Docker API и Kubernetes API Server. В кластерах Kubernetes, развернутых в облачных средах, используйте собственные функции облачной платформы для ограничения диапазонов IP-адресов, которым разрешен доступ к серверу API. По возможности включите доступ к API Kubernetes по принципу "точно в срок" (JIT), чтобы установить дополнительные ограничения на доступ.

Ограничьте доступ к API метаданных экземпляра. Правильно настроенный брандмауэр веб-приложений (WAF) может помочь предотвратить использование внешними злоумышленниками атак подделки запросов на стороне сервера (SSRF), которые позволяют получить доступ к API метаданных облачного экземпляра.

По возможности храните ключи на отдельном криптографическом оборудовании, а не в локальной системе. Например, в системах Windows для защиты ключей и других конфиденциальных учетных данных используется TPM.

Заблаговременно ищите файлы, содержащие пароли, и принимайте меры по снижению риска атаки при их обнаружении.

Примените исправление KB2962486, которое предотвращает хранение учетных данных в GPP.