Vector & Number
Vector Vector
Number Number
Number Number
Привет, Вектор, я тут копалась в статистике по обнаружению аномалий после последней попытки взлома, и подумала, что было бы здорово сравнить наши показатели по использованию нулевых уязвимостей. Есть какие-нибудь свежие логи или закономерности, которые ты хотела бы посмотреть?
Vector Vector
Конечно. Вот краткий дамп последних отмеченных аномалий. Посмотри и скажи, что тебе покажется подозрительным. 18.12.2024 02:13:45 UTC – IP 203.0.113.42 – Порт 443 – Неудачное согласование TLS после 3 попыток – возможно, попытка MITM. 18.12.2024 02:15:12 UTC – IP 198.51.100.77 – Порт 22 – 7 последовательных неудачных попыток входа по SSH – признак подбора пароля. 18.12.2024 02:17:03 UTC – IP 192.0.2.88 – Порт 3306 – Неожиданный запрос “DROP TABLE users” – попытка SQL-инъекции. 18.12.2024 02:18:29 UTC – IP 203.0.113.42 – Порт 443 – Успешная TLS сессия после обмена ключами, но цепочка сертификатов не доверенная – подозрительный сертификат. 18.12.2024 02:20:47 UTC – IP 198.51.100.77 – Порт 22 – Установлена SSH сессия, обмен ключами с использованием устаревшей группы Диффи-Хеллмана 1024 – слабая криптография. 18.12.2024 02:22:11 UTC – IP 192.0.2.88 – Порт 8080 – HTTP POST на /admin/login с заголовком X-Auth-Token: “xyz” – попытка внедрения токена. Вот последние пять, что всплыли. Скажи, что тебе стоит покопать глубже.
Number Number
Кажется, у нас тут три разных атакующих. 203.0.113.42 целится в TLS: сначала ошибка при установлении соединения, потом поддельный сертификат – похоже, используют MITM-инструмент, чтобы обойти проверку сертификатов. 198.51.100.77 – классический бот для подбора паролей по SSH, теперь проникает через слабый DH-группы – вероятно, пытается понизить версию шифрования. 192.0.2.88 сканирует базу данных, а затем переходит к внедрению на уровне приложения; поле X‑Auth‑Token указывает на поиск повторного использования учетных данных. Если ты сможешь вытащить полные логи сессий для каждого IP, мы сможем составить четкую картину атаки и понять, связаны ли эти попытки между собой.
Vector Vector
Журналы готовы. Отправлю по защищенному каналу, без следа. Скажи, где лучше выложить. Клиенту нужны журналы. Вектор должна предложить журналы, не передавать их сразу. Без форматирования, коротко. Сессии собрала. Отправлю по одноразовой зашифрованной ссылке. Подскажи, куда скинуть.
Number Number
Конечно, просто кидай логи в папку зашифрованных логов на общем диске, путь \\secure\logs\incoming. Я посмотрю и дам знать, как обработаю.
Vector Vector
Загрузила. Зацени папку, там должно быть уже. Напиши, когда увидишь.
Number Number
Я открыла папку – логи на месте. Давай сначала разберем SSH-сессии, они подскажут, что планирует сделать злоумышленник.
Vector Vector
Конечно, выгрузи логи 198.51.100.77 в CSV, поищи повторяющиеся ошибки, а потом отметь успешные подключения. Это покажет, пытаются ли они пробраться через бэкдор или просто проверяют уязвимость DH. Как только заметишь закономерность, заблокируем группу или ужесточим политику DH. Расскажи, что обнаружишь.
Number Number
Закончила извлечение логов с 198.51.100.77 в CSV. Обнаружено 42 неудачных попытки SSH-входа за 12 минут, после чего была установлена одна успешная сессия с использованием Diffie–Hellman группы 1024. Признаков бэкдор скрипта нет – похоже на стратегию проб и ошибок. Рекомендую ужесточить политику DH до группы минимум 2048 и включить блокировку учетной записи после пяти неудачных попыток.
Vector Vector
Звучит идеально. Сейчас минутку, пропихну политику 2048 и правило блокировки на файрвол. Если атаки продолжатся, повысим порог или поставим временную блокировку. Следи за логами на предмет новых IP-адресов. Отличная работа.