Демо халдлагын замыг хэрхэн ойлгох вэ?

Демо халдлагын замын зорилго нь халдагч анхны эвдрэлээс чухал хөрөнгө хүртэл орчинд хэрхэн шилжиж болохыг бодит жишээгээр харуулах явдал юм. Энэ жишээг судалснаар Attack Path-ийн өгөх мэдээллийг ашиглан байгууллагынхаа аюулгүй байдлыг хэрхэн бэхжүүлэхийг илүү сайн ойлгоно.

Демо халдлагын замыг үзэхэд дараах гурван чухал асуултад хариулах боломжтой:

1. 1Халдлага хаанаас эхлэх вэ?
2. 2Халдагч хөрөнгүүдийн хооронд хэрхэн шилжих вэ?
3. 3Эцэст нь халдагч юунд хүрч чадах вэ?

Эхлэх цэг

Зам DEMO\Alice-аас эхэлдэг. Фишингийн эрсдэл байгаа тул тэр нь энэ хувилбарт орох хамгийн магадлалтай цэг гэж тодорхойлогдсон.

Alice нь халдагчид орчинд нэвтрэх анхны тулгуурыг олгоно. Alice-ийн данс эвдэрсний дараа халдагч DEMO-WS1 рүү нэвтэрч чадах бөгөөд энэ нь гинжин дэх анхны эвдэрсэн төхөөрөмж болно.

Эхний шилжилт

DEMO-WS1-ээс халдагч дотоод компьютер дээр хадгалагдсан нэвтрэх мэдээллийг хулгайлж DEMO\Bob-ыг эвдэх боломжтой.

Энэ бол замын эхний томоохон шилжилт юм. DEMO-WS1-тэй холбоотой сул тал, үүнд ашиглагдах боломжтой эмзэг байдал болон endpoint-ийн буруу тохиргоо багтах нь халдагчид эвдэрсэн ажлын станцаас илүү нөлөө бүхий хэрэглэгчийн данс руу шилжих боломж олгодог.

Энэ үед халдлага нэг хэрэглэгч эсвэл нэг төхөөрөмжөөр хязгаарлагдахаа больсон. Халдагч одоо орчны хамаагүй том хэсэгт хүрч чадах данстай болсон.

Буулгасан зам (Collapsed path)

DEMO\Bob нь халдлагын замын хамгийн чухал зангилаануудын нэг юм. Bob нь анхны эвдрэл болон дараагийн хэд хэдэн хөрөнгийн хоорондох төв холбоос болдог. Олон халдлагын чиглэл энэ данс руу нэвтрэхээс хамаардаг тул энэ нь шилжилтийн байгалийн нарийн гарц (choke point) болно.

Хэрэв Bob-ын данс илүү сайн хамгаалагдсан байсан бол халдлагын замын хэд хэдэн салаа зэрэг тасрах байсан.

Харьцангуй төвөгтэй халдлагын замд нэг буюу хэд хэдэн буулгасан зам (collapsed path) харагдаж болно. Буулгасан зам гэдэг нь зөвхөн замын дүрслэлийг хялбарчилж, богиносгох зорилгоор дур мэдэн бүлэглэсэн зангилаа, холболтуудыг хэлнэ. Эдгээр зангилаа нь бодитоор хамт байрладаггүй, нийтлэг шинж чанаргүй бөгөөд бүлгийг дэлгэж тус тусын зангилааг харж болно.

Олон өөр чиглэл

Bob-ыг эвдсэний дараа халдагчид хэд хэдэн боломжит чиглэл нээгдэнэ.

Зам нь хэд хэдэн endpoint-д хүрч болохыг харуулсан, үүнд:

• DEMO-WS2
• DEMO-WS3
• DEMO-WS4

Эдгээр системд хөндлөн шилжилт (lateral movement) болон эрх ихэсгэхэд (privilege escalation) ашиглаж болох нэмэлт эмзэг байдал, буруу тохиргоо байдаг.

Эдгээр салааг харуулсан зорилго нь халдагч нэг л замаас хамаардаггүйг үзүүлэх явдал юм. Нэг endpoint-ийг засчихсан ч бусад замууд нээлттэй хэвээр үлдэж болно. Иймд дүрслэлд зөвхөн хамгийн богино зам биш, бусад замууд ч багтдаг.

Чухал хөрөнгө

Замын зарим зангилаанд Critical asset шошго байдаг. Эдгээр нь орчинд онцгой үнэ цэнтэй эсвэл нууц гэж тооцогдох хөрөнгө юм. Тэдгээр нь бизнесийн хувьд чухал систем, онцгой эрхтэй данс, өндөр холболттой хөрөнгө, эсвэл эвдэрвэл үйл ажиллагаанд ноцтой нөлөө үзүүлэх систем байж болно.

Одоогоор Critical asset шошго зөвхөн серверүүдэд хамаарна.

Зорилтот хөрөнгө

Халдлагын зам эцэстээ DEMO-WS5 рүү хөтөлдөг бөгөөд энэ нь тухайн хувилбарын гол нөлөөллийн зангилаа юм. Эцсийн зорилт нь үргэлж Critical Asset байна.

DEMO-WS5 бол халдагч орчны дундуур явсны эцэст хүрч болох endpoint юм. Түүн дээр ашиглагдаж болох 28 өндөр болон эгзэгтэй (high and critical) CVE байна.

Зам юуг харуулдаг вэ

Демо халдлагын зам нь тус тусдаа зохицуулж болохуйц сул талууд хэрхэн нийлж бодит халдлагын дараалал болдгийг харуулна:

DEMO\Alice > DEMO-WS1 > DEMO\Bob > Нэмэлт endpoint/хэрэглэгчид > DEMO-WS5

Эдгээр харилцан хамаарлыг ойлгох нь халдлагын замын дүрслэлийн үндсэн зорилго юм. Энэ нь юуг засах хэрэгтэйг төдийгүй халдлагын гинжийг хаана таслах нь эрсдэлийг олон хөрөнгөд зэрэг хамгийн их бууруулахыг тодруулахад тусална.