AhnLab安全月刊

Size: px

Start display at page:

Download "AhnLab安全月刊"

传令狐
5 years ago
Views:

2 响应威胁的内网漫游响应 Lateral Movement, 超越正常和恶意之边界针对企业持续尝试攻击并最终渗透到企业内部基础设施并获取重要信息的高级持续性威胁 (APT), 它虽然不为人所知, 但这一刻也到处发生 APT 攻击持续最少几个月到几年, 由于它们是通过内部网络部署, 所以在许多情况下, 最初入侵系统和最终被感染的系统完全不同因此, 为了在发生入侵事件时掌握准确的损害并防止再次入侵, 需要有一种方法来追踪内网漫游 (Lateral movement) 本文介绍了最近受到注目的内网漫游的概念和攻击方法, 以及响应方案 Lateral Movement 字面翻译是横向移动, 但是通常翻译成内网漫游如果 Lateral Movement 限于横向移动, 那么也可以存在纵向移动 (Vertical Movement) 的概念移动到同一级别, 例如客户端到客户端 (Client to Client) 和服务器到服务器 (Server to Server) 的移动可以称为横向移动, 客户端到服务器 (Client to Server), 服务器到客户端 (Sever to Client) 的移动可称为纵向移动在本文中, 将采用广泛应用的内网漫游的概念说明 2

3 内网漫游意味着, 在高级持续性威胁 (Advanced Persistent Threat, APT) 攻击过程中攻击者对组织第一个系统攻击成功后将获取的内网使用的帐户信息移动到内网系统的阶段从攻击者的角度来看为何要内网漫游呢? 造成这种情况的原因不能不说是一种矛盾, 因为随着组织安全的意识和响应水平的提高, 周边安全性得到了提高这使得攻击者越来越不能立即直接穿透特定系统, 即使它针对特定组织因此, 攻击者将进入内部的向量更改为普通用户使用的客户端系统在首先攻击用户系统之后, 攻击者为了找到存储所需数据的另一个系统需要从内部移动到内部 APT 攻击的风险持续数年, 攻击规模不断扩大据了解, 一些攻击组织受到国家级的支援虽然无法准确计算这些攻击组织的数量, 但是根据到目前为止已公开的信息, 可以估计也有 200 多个攻击组织是活跃的攻击者的目的不仅是夺取机密数据个人信息游戏币和加密货币等信息和资产, 还通过披露入侵事实拒绝服务 (DoS) 和勒索软件等威胁获取金钱利益在 APT 攻击阶段从外向内移动 APT 攻击的一般过程如图 1 所示有各种模型解释 APT 攻击阶段, 即使其术语和阶段可能存在一些差异, 但从大的角度来看, 大同小异图 1 APT 攻击流程 APT 攻击阶段可以分为两部分 : 从外到内, 从内到内让我们先看看从外向内移动攻击者选择要攻击的特定组织并收集有关组织的各种信息这包括识别有关目标组织基础架构的信息, 并使用收集的信息来准备攻击目标组织的工具此时, 为了不被目标组织使用的安全产品的检测到, 预先执行防病毒 (Anti-Virus) 产品检测测试在这种从外部访问内部受到防护的环境中, 攻击者为入侵组织可选择的方法并不多其中, 鱼叉式网络钓鱼 (Spear phishing) 和水坑式攻击 (Watering Hole) 是到目前为止攻击成功率高且可以执行针对性攻击的方法简单来讲, 如果漏洞利用代码包含在电子邮附件中, 则为鱼叉式网络钓鱼 ; 如果漏洞利用代码插入在网站上, 转发链接或篡改受害者经常访问的网站, 则 3

为水坑式攻击有时候, 这两种方法在实际攻击中混合使用此时主要使用的漏洞是 Microsoft Office Windows Adobe Flash Player 和 Adobe PDF 这些方法从外部攻击内部, 并且是针对客户端的攻击图 2 用于 APT 攻击的主要的软件漏洞攻击者必须使用用户的 PC 执行攻击, 因此很自然地使用用户 PC 上经常使用的软件此时, 如果利用软件漏洞

4 为水坑式攻击有时候, 这两种方法在实际攻击中混合使用此时主要使用的漏洞是 Microsoft Office Windows Adobe Flash Player 和 Adobe PDF 这些方法从外部攻击内部, 并且是针对客户端的攻击图 2 用于 APT 攻击的主要的软件漏洞攻击者必须使用用户的 PC 执行攻击, 因此很自然地使用用户 PC 上经常使用的软件此时, 如果利用软件漏洞成功运行漏洞利用代码, 则成功与外部 C&C( 命令和控制 ) 服务器建立连接攻击者即可以直接控制目标组织网络中存在的客户端终端也就是说, 攻击者成功从外部移动到内部在 APT 攻击阶段从内向外移动如果攻击者获得对内部网络中存在的系统的控制权, 必须尽可能秘密地行动直到获得所需的目的为止, 这可能需要很长时间但是, 只要它们位于内部网络中, 通过内部网络访问其他系统是相对自由的因为大多数安全设备集中在从外到内的区域近年来, 攻击者经常使用的方法是盗取被称为凭证 (Credential) 的认证信息来访问系统后, 利用此凭证移动到内部网络中的其他系统如果盗取的认证信息是哈希形式, 则称为哈希传递 (Pass the Hash) 攻击凭证获取工具有各种各样, 其中最常用的工具叫做 mimikatz mimikatz 可以从 SAM 注册表或内存中转储 Windows 帐户信息图 3 用于 APT 攻击的凭证 (Credential) 获取工具 4

图 4 mimikatz 运行界面一旦攻击者获得明文或哈希形式的凭证, 就可以使用它作为用户访问其他系统此时最常用的工具是 PsExec PowerShell 和 RDP 图 5 用于 APT 攻击的内网漫游 (Lateral Movement) 工具特别是最近, 使用 PowerShell

5 图 4 mimikatz 运行界面一旦攻击者获得明文或哈希形式的凭证, 就可以使用它作为用户访问其他系统此时最常用的工具是 PsExec PowerShell 和 RDP 图 5 用于 APT 攻击的内网漫游 (Lateral Movement) 工具特别是最近, 使用 PowerShell 的攻击越来越增加大多数 Windows 系统默认安装 PowerShell 并提供强大的系统控制功能, 因此非常受攻击者和管理员的欢迎多年来, 已经有许多框架能够使用 PowerShell 控制内部入侵的过程这些公开的框架包括 Powersploit Nishang Empire 和 Pupy 5

图 6 使用 empire 的入侵演示入侵事件的认知有几种方法可以识别这种 APT 类型的入侵行为有时组织中的系统会发现异常的文件, 数据库更改, 异常连接等, 更严重的是系统或网络发生故障或者安全产品或服务可能会检测到威胁, 例如防病毒产品检出恶意代码另一方面, 有时还会通过外部组织认知入侵事件从外部组织认知入侵事件, 或者在网上看到已被公开的公司机密数据

6 图 6 使用 empire 的入侵演示入侵事件的认知有几种方法可以识别这种 APT 类型的入侵行为有时组织中的系统会发现异常的文件, 数据库更改, 异常连接等, 更严重的是系统或网络发生故障或者安全产品或服务可能会检测到威胁, 例如防病毒产品检出恶意代码另一方面, 有时还会通过外部组织认知入侵事件从外部组织认知入侵事件, 或者在网上看到已被公开的公司机密数据又或直接收到来自攻击者的威胁, 例如勒索软件感染组织通过这些内部和外部信息认知入侵事件不幸的是, 在大多数组织中, 认知入侵至少需要 170 天这是一个国际平均水平, 预计在亚洲 ( 包括韩国 ) 需要更长的时间 AhnLab A-FIRST 的入侵事件分析案例中, 有一家大型企业入侵事件发生两年多也未认知到入侵事实经过这样的时间后, 可以说攻击者已经实现了所有的攻击目标认知入侵事件过迟有几个原因首先, 组织内部不会执行威胁捕捉 (Threat Hunting) 以感知入侵行为其次, 检测到恶意代码时仅仅通过防病毒软件修复或系统格式化等简单的响应来完成, 而不找出原因第三, 攻击者入侵内部网络后, 减少恶意代码的使用而较多使用正常的程序 LOLBins LOLBins 是 Living Off the Land Binaries 的缩写, 意思是自给自足这个术语在 2013 年开始被提及您可以通过在 Twitter 上搜索 #lolbins 等来获取各种信息 LOLBins 意味着系统上安装的正常程序用于攻击者的目的这些文件中的大多数都是出于管理目的, 可用于各种目的, 例如程序运行下载服务更改注册表查找和修改 ADS 利用脚本运行等由于该程序是系统中存在的正常程序, 因此防病毒产品不会将其识别为恶意文件, 这就成为了问题 6

图 7 LOLBins 案例内网漫游, 为何难以追踪如前所述,APT 类型的入侵并不容易认知, 但分析包含内网漫游过程的入侵事件也同样困难原因如下缺少日志攻击者故意删除痕迹认知入侵事件过晚难以识别内网漫游行为, 特别是在客户端 PC 之间移动, 并不会留下太多的日志此外, 最近的攻击者故意删除痕迹最近 SSD 存储器的使用增加也使得删除文件的恢复变得困难,

7 图 7 LOLBins 案例内网漫游, 为何难以追踪如前所述,APT 类型的入侵并不容易认知, 但分析包含内网漫游过程的入侵事件也同样困难原因如下缺少日志攻击者故意删除痕迹认知入侵事件过晚难以识别内网漫游行为, 特别是在客户端 PC 之间移动, 并不会留下太多的日志此外, 最近的攻击者故意删除痕迹最近 SSD 存储器的使用增加也使得删除文件的恢复变得困难, 因此利用删除的反取证对攻击者非常有用此外, 如前所述, 过晚的认知入侵也是跟踪困难的原因因为随着时间的推移, 系统中留下的痕迹会消失这就是为什么有必要更快地认知入侵行为的原因另一个原因是即使留下痕迹也难以识别很难区分使用系统之间的用户帐户的身份验证和通信是正常的还是恶意的入侵事件分析是使用痕迹来追踪攻击者的行为然而, 由于上述原因, 近年来仅通过痕迹来跟踪攻击者的行为变得困难因此, 不让痕迹消失并好好留在系统中也非常重要现在让我们来看看如何响应内网漫游内网漫游, 是否可以提前阻止? 如果不满足认证信息网络或服务中的任何一个因素, 则内网漫游不能成功换句话说, 即不公开访问内部网络系统和服务时使用的帐户, 或者在网络层封锁, 或者不在系统中提供这些服务, 则可以防止内网漫游的行为我们先来看看如何保护您的凭据基本上, 每个人都应该谨慎保管自己的帐户信息不要将帐户和密码存储在纯文本文件中, 也不要通过电子邮件或即时消息发送或接收安全运营部门应该建立密码管理策略, 例如复杂性定期更改以及禁止重复使用相同的密码, 以便每个系统都可以安全地使用密码没有大量系统的组织中, 当使用管理员 (Administrator) 帐户进行管理时, 通常对所有系统使用相同的密码如果管理员帐户在一个系统上被劫持, 这可能会危及整个企业系统同样, 使用 Active Directory 的组织也应该注意如果使用具 7

8 有管理员权限的 Active Directory 帐户访问另一个系统,mimikatz 等工具的目标是系统之间认证后缓存在内存中并剩余的凭证因此, 您应该将凭证的数量设置为最小, 以最大限度地减少缓存次数, 或者防止明文密码存储在 LSASS 内存中其设置方法如下 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 注册表项中的 CachedLogonsCount 设置为 0 或 1 HKLM\SYSTEM\CurrentControlSet/Control/SecurityProviders/Wdigest 注册表项中的 UseLogon Credential 设置为 0( 修补 KB 后更改注册表 ) 此外, 在使用管理员帐户等连接到另一个系统后, 必须重新启动系统从网络的角度来看, 组织内非常重要的系统最好是分离运行而且网络分离要配置为按部门和目的以最小单位如果连接整个网络, 整个组织可能会因为一个人的失误而面临风险每个系统必须仅激活和使用所需的服务特别是, 如果您不使用文件共享功能 WMI 和 RDP 功能等, 则需要禁用每个系统的服务并阻止端口 (TCP 135,445,139,3389,49154) 发生内网漫游后, 是否可以认知? 如前所述, 内网漫游的行为与正常用户的行为没有太大差别因此, 安全产品很难将其识别为恶意文件或恶意行为以下是一些认知到内网漫游行为的几个建议首先, 在组织内使用蜜罐系统或帐户当检测到攻击者访问蜜罐系统的行为, 或者使用蜜罐帐户的行为, 则将其视为入侵行为攻击者通常针对未妥善管理的空闲系统反过来, 可将组织中的空闲系统用于此目的其次, 通过使用机器学习技术检测正常程序的异常运行即基于内网漫游中使用的程序的运行模式或网络访问历史记录, 当发生超过正常阈值的异常行为时判断是否是入侵行为当然, 由于每个组织判断正常和异常的基准不同, 这就需要为每个组织建立一个训练有素的系统日本计算机紧急响应小组 (JPCERT) 发表了使用这种方法检测到内网漫游的案例第三, 这是一种在最近的网站中广泛应用的方法, 即认证时向当事人发送短信或电子邮件来确认认证发生是是否由正常用户引起内网漫游, 是否可以事后追踪? 如要追踪内网漫游行为, 需要由足够的痕迹, 但基本上没有留下痕迹因此, 有必要加强端点系统的日志收集和管理具体而言, 日志的存储期应至少设置为 2 年, 不得已的情况下也至少应保留 6 个月另外, 还需要将日志数据保存到另外的系统中, 以防止被攻击者删除追踪内网漫游所需的日志是 Security.evtx,Windows 系统默认提供因为此日志中记录系统认证时发生的日志还需要程序运行和网络访问日志记录, 可以使用 sysmon 工具轻松记录日志, 这些工具由微软公司收购的 Sysinternals 免费提供从 4.0 版开始提供的 PowerShell 脚本块日志记录功能也可用于获取在系统上运行的 PowerShell 脚本最近, 许多用于收集端点行为信息的 EDR 解决方案正在出现您也可以获得这些解决方案的帮助 8

9 图 8 Microsoft-Windows-PowerShell/Operational.evtx" 由于 APT 攻击的特性, 不可能 100% 阻止入侵行为攻击者成功入侵用户的 PC 后, 将尝试获取内部网络中使用的帐户信息, 然后利用获取的帐户探索内部网络此时, 攻击者使用正常程序 (LOLBins) 而不是恶意代码, 因此很难被管理员揭发因此, 运营商应该假设攻击者为已拥有帐户的内部用户, 而不是外部威胁, 然后检查内部安全策略特别是, 在最近的环境中, 由于主要使用在端点入侵之后漫游内部网络的方法, 因此需要观察在端点处发生的行为并积极地执行威胁捕捉 9

10 cn.ahnlab.com 关于 AhnLab Ahnlab 的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务 AhnLab 已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区望京阜通东大街 1 号望京 SOHO 塔 2 B 座室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : ( 北京 ) / ( 上海 ) cn.sales@ahnlab.com 2018 AhnLab, Inc. All rights reserved.

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON