Etäkäyttö Troijalainen, tai RAT, on yksipahimmat haittaohjelmatyypit, joista voi ajatella. Ne voivat aiheuttaa kaikenlaisia vaurioita ja ovat myös vastuussa kalliista tiedon menetyksistä. Niitä on taisteltava aktiivisesti, koska ne ovat ilkeitä, ja ne ovat myös melko yleisiä. Tänään teemme parhaamme selittääksemme, mitkä he ovat ja miten ne toimivat, ja ilmoitamme sinulle, mitä voidaan tehdä heidän suojaamiseksi.
Aloitamme tänään keskustelummeselittää mitä RAT on. Emme mene liian syvälle teknisiin yksityiskohtiin, mutta teemme parhaamme selittääksemme, miten ne toimivat ja miten he pääsevät sinuun. Yritämme seuraavaksi yrittää olla kuulostamatta liian vainoharhaiselta, kuinka RAT: ita voidaan melkein pitää aseena. Itse asiassa jotkut on käytetty sellaisenaan. Sen jälkeen esittelemme muutama tunnetuin RAT. Se antaa sinulle paremman kuvan siitä, mihin he kykenevät. Näemme sitten, kuinka tunkeutumisen havaitsemisen työkaluja voidaan käyttää suojaamaan RAT: iin, ja tarkastelemme joitain näiden työkalujen parhaista.
Joten, mikä on RAT?
Ja Etäkäyttö troijalainen on haittaohjelma, jonka avulla hakkeri voidaan suorittaa etäyhteyden kautta(tästä nimi) hallitsee tietokonetta. Analysoidaan nimi. Troijalainen osa käsittelee haittaohjelmien levitystä. Se viittaa antiikin Kreikan tarinaan Troijan hevosesta, jonka Ulysses rakensi ottamaan takaisin Troyn kaupungin, joka oli ollut kymmenen vuoden ajan estetty. Tietokonehaittaohjelmien yhteydessä troijalainen (tai yksinkertaisesti troijalainen) on haittaohjelma, jota jaellaan jollain muulla. Esimerkiksi peli, jonka lataat ja asennat tietokoneellesi, voi todella olla troijalainen ja se voi sisältää haittaohjelmakoodia.
Mitä tulee RAT: n nimen etäkäyttöosaan,se liittyy siihen, mitä haittaohjelmat tekevät. Yksinkertaisesti sanottuna se antaa kirjoittajalle etäkäytön tartunnan saaneeseen tietokoneeseen. Ja kun hän saa etäkäytön, hänelle ei juuri ole rajoituksia. Se voi vaihdella tiedostojärjestelmän tutkimisesta, näytöllä näkyvien toimintojen katsomisesta, kirjautumistietojen keräämisestä tai tiedostojen salaamisesta lunastuksen vaatimiseksi. Hän voi myös varastaa tietojasi tai, mikä vielä pahempaa, asiakkaasi tietoja. Kun RAT on asennettu, tietokoneestasi voi tulla keskus, josta hyökkäykset käynnistetään muihin lähiverkon tietokoneisiin, ohittaen siten ympäröivän suojauksen.
RAT historiassa
RAT: t ovat valitettavasti olleet olemassa jo yli avuosikymmenellä. Uskotaan, että tekniikka on osallistunut kiinalaisten hakkereiden laajaan Yhdysvaltain tekniikan ryöstämiseen jo vuonna 2003. Pentagonin tutkimuksessa löydettiin Yhdysvaltain puolustusurakoitsijoilta tietojenvarkauksia, ja luokiteltu kehitys- ja testaustieto siirrettiin Kiinan kohteisiin.
Ehkä muistat Yhdysvaltojen idänRannikon sähköverkkokatkokset vuosille 2003 ja 2008. Nämä olivat jäljitettävissä myös Kiinaan, ja RAT: t näyttivät helpottaneen niitä. Hakkeri, joka voi saada RAT-järjestelmän järjestelmään, voi hyödyntää mitä tahansa ohjelmistoa, joka tartunnan saaneen järjestelmän käyttäjillä on käytettävissään, usein ilman että he edes huomaa sitä.
RAT aseina
Haitallinen RAT-kehittäjä voi ottaa hallintaansavoimalaitokset, puhelinverkot, ydinlaitokset tai kaasuputket. RAT-arvot eivät sellaisenaan aiheuta riskiä vain yrityksen turvallisuudelle. Ne voivat myös antaa kansakuntien hyökätä vihollismaahan. Sellaisenaan niitä voidaan pitää aseina. Hakkerit ympäri maailmaa käyttävät RAT-arvoja vakoilemaan yrityksiä ja varastamaan tietojaan ja rahaa. Samaan aikaan RAT-ongelmasta on tullut monien maiden, myös Yhdysvaltojen, kansallinen turvallisuuskysymys.
Alun perin käytetty teollisuusvakoilussa jaKiinalaisten hakkereiden sabotaasi, Venäjä on tullut arvostamaan RAT: ien voimaa ja integroinut ne sotilasarsenaaliinsä. Ne ovat nyt osa Venäjän rikoksistrategiaa, joka tunnetaan nimellä "hybridi-sodankäynti". Kun Venäjä tarttui osaan Georgian osavaltiota vuonna 2008, se käytti DDoS-hyökkäyksiä estääkseen Internet-palveluita ja RAT-verkkoja tiedustelun keräämiseksi, hallitsemiseksi ja Georgian sotilaallisen laitteiston ja keskeisten häiriöiden hajottamiseksi. apuohjelmia.
Muutama (In) kuuluisa RAT
Katsotaanpa joitain tunnetuimmista RAT-arvoista. Ideamme ei tässä ole kunnioittaa heitä vaan antaa sinulle käsityksen kuinka monipuolisia he ovat.
Takaaukko
Back Orifice on amerikkalainen RAT, jolla onollut noin vuodesta 1998. Se on eräänlainen RAT: n isoäiti. Alkuperäisessä järjestelmässä hyödynnettiin Windows 98: n heikkoutta. Myöhemmissä uudemmissa Windows-käyttöjärjestelmissä toimineita versioita kutsuttiin Back Orifice 2000 ja Deep Back Orifice.
Tämä RAT pystyy piiloutumaan itseäänkäyttöjärjestelmä, joka tekee siitä erityisen vaikean havaita. Nykyään kuitenkin useimmissa virussuojausjärjestelmissä on Back Orifice -ohjelman suoritettavat tiedostot ja tukkeumakäyttäytyminen allekirjoituksina, joita kannattaa odottaa. Tämän ohjelmiston erottuva piirre on, että siinä on helppokäyttöinen konsoli, jota tunkeilija voi käyttää navigoimaan ja selaamaan tartunnan saaneessa järjestelmässä. Asennuksen jälkeen tämä palvelinohjelma kommunikoi asiakaskonsolin kanssa vakioverkkoprotokollia käyttämällä. Esimerkiksi tiedetään käyttävän porttinumeroa 21337.
DarkComet
Ranskalainen perusti DarkCometin vuonna 2008hakkeri Jean-Pierre Lesueur, mutta tuli tietoverkkoturvallisuusyhteisön tietoon vasta vuonna 2012, kun havaittiin, että afrikkalainen hakkeriyksikkö käytti järjestelmää kohdistaakseen Yhdysvaltain hallitusta ja armeijaa.
DarkCometille on ominaista helppo käyttääkäyttöliittymä, jonka avulla käyttäjät, joilla on vähän tai ei lainkaan teknisiä taitoja, voivat suorittaa hakkerihyökkäyksiä. Se sallii vakoilun avainnuslohkon, näytön kaappauksen ja salasanojen keräämisen kautta. Hallitseva hakkeri voi myös käyttää etätietokoneen virrantoimintoja, jolloin tietokone voidaan kytkeä päälle tai pois päältä etäyhteyden kautta. Tartunnan saaneen tietokoneen verkkotoiminnot voidaan myös valjastaa käyttämään tietokonetta välityspalvelimena ja peittämään käyttäjän identiteetti muissa tietokoneissa tapahtuvien ratsioiden aikana. Kehittäjä hylkäsi DarkComet-projektin jo vuonna 2014, kun havaittiin, että Syyrian hallitus käytti sitä vakoillakseen kansalaisiaan.
Kangastus
Mirage on kuuluisa RAT, jota käyttää valtion tukemaKiinalainen hakkerit. Erittäin aktiivisen vakoilukampanjan jälkeen vuosina 2009-2015 ryhmä meni hiljaiseksi. Mirage oli ryhmän ensisijainen työkalu vuodesta 2012. MirageFox-nimisen Mirage-variantin havaitseminen vuonna 2018 on vihje, että ryhmä voisi olla jälleen toiminnassa.
MirageFox löydettiin maaliskuussa 2018, kun sekäytettiin vakoilemaan Yhdistyneen kuningaskunnan hallituksen urakoitsijoita. Alkuperäisen Mirage RAT: n suhteen sitä käytettiin hyökkäyksissä Filippiinien öljy-yhtiöitä, Taiwanin armeijaa, Kanadan energiayhtiötä ja muita kohteita vastaan Brasiliassa, Israelissa, Nigeriassa ja Egyptissä.
Tämä RAT toimitetaan upotettuna PDF-tiedostoon. Sen avaaminen aiheuttaa komentosarjojen suorittamisen, jotka asentavat RAT: n. Asennuksen jälkeen sen ensimmäinen toimenpide on raportoida takaisin komento- ja hallintajärjestelmälle tarkastamalla tartunnan saaneen järjestelmän ominaisuudet. Nämä tiedot sisältävät prosessorin nopeuden, muistin kapasiteetin ja käytön, järjestelmän nimen ja käyttäjänimen.
Suojaaminen RAT: ilta - tunkeutumisen havaitsemisen työkalut
Virustorjuntaohjelmisto on joskus turhaRAT-arvojen havaitseminen ja estäminen. Tämä johtuu osittain heidän luonteestaan. He piiloutuvat näkyvään näköpiiriin kuin jotain muuta, joka on täysin legit. Tästä syystä ne havaitaan parhaiten järjestelmissä, jotka analysoivat tietokoneita epänormaalin käyttäytymisen varalta. Sellaisia järjestelmiä kutsutaan tunkeutumisen havaitsemisjärjestelmiksi.
Olemme etsineet markkinoilta parasta tunkeutumistaTunnistusjärjestelmät. Luetteloomme sisältyy sekoitus vilpittömiä tunkeutumisen havaitsemisjärjestelmiä ja muita ohjelmistoja, joissa on tunkeutumisen havaitsemiskomponentti tai joita voidaan käyttää havaitsemaan tunkeutumisyrityksiä. He tekevät yleensä paremman työn tunnistaakseen etäkäyttö troijalaisia kuin muun tyyppisiä haittaohjelmien suojausvälineitä.
1. SolarWinds Threat Monitor - IT Ops Edition (ILMAINEN esittely)
SolarWinds on yleinen nimi verkonhallintatyökalujen alalla. Jotka ovat olleet noin 20 vuotta, se toi meille joitain parhaista verkko- ja järjestelmänhallintatyökaluista. Sen lippulaiva, Verkon suorituskyvyn näyttö, sijoittuu jatkuvasti parhaiden verkon kaistanleveyden valvontatyökalujen joukkoon. SolarWinds tekee myös erinomaisia ilmaisia työkaluja, joista jokainen vastaa verkonvalvojien erityistarpeisiin. Kiwi Syslog -palvelin ja Advanced Subnet Laskin ovat kaksi hyvää esimerkkiä niistä.
- ILMAINEN esittely: SolarWinds Threat Monitor - IT Ops Edition
- Virallinen latauslinkki: https://www.solarwinds.com/threat-monitor/registration
Verkkopohjaisen tunkeutumisen havaitsemiseksi SolarWinds tarjoaa Threat Monitor - IT Ops Edition. Toisin kuin useimmat muut SolarWinds työkaluja, tämä on pikemminkin pilvipohjainen palvelukuin paikallisesti asennettu ohjelmisto. Tilaat vain sen, määrität sen ja se alkaa seurata ympäristöäsi tunkeutumisyrityksiä ja muutama tyyppisiä uhkia varten. Threat Monitor - IT Ops Edition yhdistää useita työkaluja. Siinä on sekä verkko- että isäntäpohjainen tunkeutumisen havaitseminen sekä lokien keskittäminen ja korrelointi sekä turvallisuustiedot ja tapahtumien hallinta (SIEM). Se on erittäin perusteellinen uhkien seurantaohjelma.
Ja Threat Monitor - IT Ops Edition on aina ajan tasalla, päivitetään jatkuvastiuhkailutiedot useista lähteistä, mukaan lukien IP- ja verkkotunnusmaineistotietokannat. Se tarkkailee sekä tunnettuja että tuntemattomia uhkia. Työkalu sisältää automatisoidut älykkäät vastaukset turvallisuushäiriöiden nopeaksi korjaamiseksi antaen sille joitain tunkeutumisen estäviä ominaisuuksia.
Tuotteen hälytysominaisuudet ovat melkovaikuttava. On monia ehtoja, ristikorreloivia hälytyksiä, jotka toimivat yhdessä työkalun Active Response -moottorin kanssa ja auttavat tärkeiden tapahtumien tunnistamisessa ja yhteenvedossa. Raportointijärjestelmä on yhtä hyvä kuin sen hälytys ja sitä voidaan käyttää osoittamaan vaatimustenmukaisuus käyttämällä olemassa olevia valmiita raporttipohjia. Vaihtoehtoisesti voit luoda mukautettuja raportteja, jotka vastaavat tarkalleen yrityksesi tarpeita.
Hinnat SolarWinds Threat Monitor - IT Ops Edition alkaa 4 500 dollarista jopa 25 solmuun 10 päivän indeksillä. Voit ottaa yhteyttä SolarWinds yksityiskohtainen tarjous, joka on mukautettu erityistarpeisiisi. Ja jos haluat nähdä tuotteen toiminnassa, voit pyytää ilmaisen esittelyn osoitteesta SolarWinds.
2. SolarWinds Log & Event Manager (Ilmainen kokeilu)
Älä anna SolarWinds Log & Event ManagerNimi huijaa sinua. Se on paljon enemmän kuin vain lokien ja tapahtumien hallintajärjestelmä. Monet tämän tuotteen edistyneistä ominaisuuksista asettavat sen turvallisuustietojen ja tapahtumien hallinnan (SIEM) valikoimaan. Muut ominaisuudet määrittelevät sen tunkeutumisen havaitsemisjärjestelmäksi ja jopa tietyssä määrin tunkeutumisen estäväksi järjestelmäksi. Tämä työkalu sisältää esimerkiksi reaaliaikaisen tapahtuman korrelaation ja reaaliaikaisen korjauksen.
- Ilmainen kokeilu: SolarWinds Log & Event Manager
- Virallinen latauslinkki: https://www.solarwinds.com/log-event-manager-software/registration
Ja SolarWinds Log & Event Manager ominaisuudet havaitsevat epäilyttävät välittömästiaktiviteetti (tunkeutumisen havaitsemistoiminto) ja automatisoidut vastaukset (tunkeutumisen estäminen). Se voi myös suorittaa tietoturvatapahtumien tutkinnan ja rikostutkimuksen sekä lieventämistä että noudattamista varten. Tilintarkastustodistuksessa ilmoitetun raportoinnin ansiosta työkalua voidaan käyttää myös osoittamaan muun muassa HIPAA: n, PCI-DSS: n ja SOX: n noudattaminen. Työkalussa on myös tiedostojen eheyden valvonta ja USB-laitteen valvonta, mikä tekee siitä paljon enemmän integroidun tietoturvaympäristön kuin pelkkä lokin ja tapahtumien hallintajärjestelmän.
Hinnoittelu SolarWinds Log & Event Manager alkaa 4 585 dollarista enintään 30 valvotulle solmulle. Enintään 2 500 solmun lisenssejä voi ostaa, mikä tekee tuotteesta erittäin skaalautuvan. Jos haluat viedä tuotteen koeajoon ja tarkistaa itse, onko se sinulle sopiva, on saatavilla ilmainen, monipuolinen 30 päivän kokeiluversio.
3. OSSEC
Avoimen lähdekoodin tietoturvatai OSSEC, on ylivoimaisesti johtava avoimen lähdekoodin isäntäpohjainen tunkeutumisen havaitsemisjärjestelmä. Tuotteen omistaa Trend Micro, yksi johtavista nimistä tietoturvan jayhden parhaimmista virussuojaussovellusten valmistaja. Asennettuna Unix-tyyppisiin käyttöjärjestelmiin ohjelmisto keskittyy ensisijaisesti loki- ja määritystiedostoihin. Se luo tarkistussummia tärkeistä tiedostoista ja vahvistaa ne säännöllisin väliajoin, varoittaen sinua, kun tapahtuu jotain outoa. Se myös tarkkailee ja hälyttää kaikista epänormaalista yrityksestä päästä juureen. Windows-isäntälaitteissa järjestelmä pitää myös silmällä luvattomia rekisterimuutoksia, jotka voivat olla ilmaisun merkki haitallisesta toiminnasta.
Koska se on isäntäpohjainen tunkeutumisen havaitsemisjärjestelmä, OSSEC on asennettava jokaiseen suojattavaan tietokoneeseen. Keskitetty konsoli kuitenkin yhdistää tiedot kustakin suojatusta tietokoneesta hallinnan helpottamiseksi. Samalla kun OSSEC konsoli toimii vain Unix-kaltaisissa käyttöjärjestelmissä,agentti on saatavana Windows-koneiden suojaamiseksi. Mahdolliset havainnot laukaisevat hälytyksen, joka näkyy keskitetyssä konsolissa, kun taas ilmoitukset lähetetään myös sähköpostitse.
4. tuhahtaa
tuhahtaa on luultavasti tunnetuin avoimen lähdekoodin sovellusverkkopohjainen tunkeutumisen havaitsemisjärjestelmä. Mutta se on enemmän kuin tunkeutumisen havaitsemisen työkalu. Se on myös paketinhaku ja pakettien kirjaaja, ja se pakata myös muutama muu toiminto. Tuotteen konfigurointi muistuttaa palomuurin määrittämistä. Se tehdään sääntöjen avulla. Voit ladata perussäännöt tuhahtaa verkkosivustolla ja käytä niitä sellaisenaan tai räätälöi ne erityistarpeisiisi. Voit myös tilata tuhahtaa säännöt, jotta kaikki uusimmat säännöt saadaan automaattisesti niiden kehittyessä tai uusien uhkien havaittua.
Järjestellä on erittäin perusteellinen ja jopa sen perussäännöt voivathavaitsee monenlaisia tapahtumia, kuten varkainporttien tarkistukset, puskurin ylivuotohyökkäykset, CGI-hyökkäykset, SMB-koettimet ja käyttöjärjestelmän sormenjäljet. Sillä, mitä tämän työkalun avulla voit havaita, ei käytännössä ole mitään rajoituksia, ja sen, mitä se havaitsee, riippuu yksinomaan asennettavista säännöistä. Mitä havaitsemismenetelmiin, joitain perustietoja tuhahtaa säännöt ovat allekirjoitusperusteisia, kun taas toiset ovat poikkeavuuteen perustuvia. tuhahtaa voi siksi antaa sinulle molemmista maailmoista parhaan.
5. Samhain
Samhain on toinen tunnettu ilmainen isäntä-tunkeutuminenhavaitsemisjärjestelmä. Sen pääpiirteet IDS: n kannalta ovat tiedostojen eheyden tarkistaminen ja lokitiedostojen seuranta / analyysi. Se tekee kuitenkin paljon enemmän. Tuote suorittaa rootkit-tunnistuksen, porttiseurannan, roistojen SUID-suoritettavien tiedostojen ja piilotettujen prosessien havaitsemisen.
Työkalu on suunniteltu tarkkailemaan useita isäntiä, jotka käyttävät erilaisia käyttöjärjestelmiä, samalla kun ne tarjoavat keskitetyn kirjaamisen ja ylläpidon. Kuitenkin, Samhain voidaan käyttää myös erillisenä sovelluksenayksi tietokone. Ohjelmisto toimii pääasiassa POSIX-järjestelmissä, kuten Unix, Linux tai OS X. Se voi toimia myös Windowsissa, Cygwin, paketti, joka sallii POSIX-sovellusten ajamisen Windowsissa, vaikka vain seuranta-agentti on testattu tässä kokoonpanossa.
Yksi SamhainAinutlaatuisin ominaisuus on sen varkaustila, jokaantaa sen ajaa ilman, että mahdolliset hyökkääjät tunnistavat sitä. Tunkeilijoiden on tiedetty tappavan nopeasti tunnistusprosessit, jotka he tunnistavat heti, kun ne tulevat järjestelmään ennen havaitsemistaan, jolloin ne voivat jäädä huomaamatta. Samhain käyttää steganografisia tekniikoita piilottaakseen prosessinsa muilta. Se suojaa myös keskuslokitiedostot ja kokoonpanovarmuuskopiot PGP-avaimella peukaloinnin estämiseksi.
6. suricata
suricata ei ole vain tunkeutumisen havaitsemisjärjestelmä. Siinä on myös joitain tunkeutumisen estäviä ominaisuuksia. Itse asiassa sitä mainostetaan täydellisenä verkkoturvallisuuden seurantaekosysteeminä. Yksi työkalun parhaista hyödyistä on, miten se toimii aina sovelluskerrokseen saakka. Tämä tekee siitä hybridi-, verkko- ja isäntäpohjaisen järjestelmän, jonka avulla työkalu havaitsee uhat, jotka todennäköisesti jäävät muiden työkalujen huomaamatta.
suricata on todellinen verkkopohjainen tunkeutumisen havaitseminenJärjestelmä, joka ei toimi vain sovelluskerroksessa. Se seuraa alemman tason verkkoprotokollia, kuten TLS, ICMP, TCP ja UDP. Työkalu ymmärtää ja dekoodaa myös korkeamman tason protokollia, kuten HTTP, FTP tai SMB, ja pystyy havaitsemaan muutoin normaaliin pyyntöihin piilotetut tunkeutumisyritykset. Työkalussa on myös tiedostojen purkuominaisuudet, joiden avulla järjestelmänvalvojat voivat tutkia epäilyttävät tiedostot.
suricataSovellusarkkitehtuuri on melko innovatiivinen. Työkalu jakaa työmääränsä useille suorittimen ytimille ja säikeille parhaan suorituskyvyn saavuttamiseksi. Tarvittaessa se voi jopa purkaa osan prosessoinnistaan näytönohjaimeen. Tämä on hieno ominaisuus, kun työkalua käytetään palvelimilla, koska niiden näytönohjainta ei yleensä käytetä riittävästi.
7. Bro-verkon tietoturvamonitori
Ja Bro-verkon tietoturvamonitori, toinen ilmainen verkon tunkeutumisen havaitsemisjärjestelmä. Työkalu toimii kahdessa vaiheessa: liikenteen kirjaaminen ja liikenteen analysointi. Aivan kuten Suricata, Bro-verkon tietoturvamonitori toimii useissa kerroksissa sovellukseen saakkakerros. Tämä mahdollistaa jaettujen tunkeutumisyritysten paremman havaitsemisen. Työkalun analysointimoduuli koostuu kahdesta elementistä. Ensimmäistä elementtiä kutsutaan tapahtumamoottoriksi ja se seuraa käynnistäviä tapahtumia, kuten netto TCP-yhteyksiä tai HTTP-pyyntöjä. Sitten tapahtumia analysoidaan käytäntökomentosarjoilla, toisella elementillä, jotka päättävät, käynnistääkö hälytys ja / tai käynnistää toiminnan. Mahdollisuus käynnistää toiminto antaa Bro Network Security Monitorille joitain IPS-kaltaisia toimintoja.
Ja Bro-verkon tietoturvamonitori voit seurata HTTP-, DNS- ja FTP-toimintaa ja sitävalvoo myös SNMP-liikennettä. Tämä on hyvä asia, koska SNMP: tä käytetään usein verkonvalvontaan, mutta se ei ole suojattu protokolla. Ja koska sitä voidaan käyttää myös kokoonpanojen muuttamiseen, haitalliset käyttäjät voivat käyttää sitä hyväkseen. Työkalun avulla voit myös seurata laitemääritysten muutoksia ja SNMP-ansoja. Se voidaan asentaa Unix-, Linux- ja OS X -käyttöjärjestelmiin, mutta se ei ole saatavana Windowsille, mikä on ehkä sen tärkein haittapuoli.
Kommentit