Компьютер дээр даалгавар ажиллуулах — 3-р хэсэг: IOC scan

← Үндсэн хуудас

IOC scan

Сонгосон төхөөрөмж (endpoint) дээр мэдэгдэж буй Indicators of Compromise (IOC)-ийг хүссэн үедээ on-demand шалгуулж болно.

IOC scan даалгавар ажиллуулах

IOC scan даалгаврыг ажиллуулахын тулд дараах алхмыг хийнэ:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Network хуудас руу орно.
3. 3
   Контейнеруудыг үзэж, шалгах төхөөрөмжүүдээ сонгоно.
4. 4
   Tasks товчийг дараад IOC scan-г сонгоно.

   IOC шалгалтад авч үзэх индикаторын төрлийг сонгох тохиргооны хуудас гарна.

   Чухал

   Хүчинтэй даалгавар үүсгэхийн тулд Indicator of Compromise-ийн дор хаяж нэг төрлийг сонгоно.

5. 5
   Шалгалтад авч үзэх IOC-ийн нэг буюу хэд хэдэн төрлийг сонгоод, шинээр нэмэгдсэн талбарт мэдэгдэж буй IOC-ийн нэрийг бичнэ.

   Дараах төрлүүдээс сонгож болно:

   • MD5
   • SHA1
   • SHA256
   • SHA512
   • File Names
   • Process Names
   • Registry Values
   • Registry Keys

   Тэмдэглэл

   Талбар бүрт нэмсэн агуулга хүчинтэй байх ёстой. Үгүй бол анхааруулах тэмдэг болон мессеж гарна.

6. 6
   IOC scan даалгаврыг үүсгэж ажиллуулахын тулд Save-г дарна.

   Баталгаажуулах мессеж гарна.

   Даалгаврын явцыг Network > Tasks хуудаснаас шалгаж болно.

7. 7
   Даалгавар амжилттай дууссаны дараа Reports товчийг дарж үүссэн тайланг уншиж, таны шалгасан IOC-ийн нөлөөллийг үнэлж болно.

IOC scan талбарын формат

File Names болон Process Names талбар дараах оролтын аль нэгийг хүлээн авна:

• файлын нэр эсвэл процессын нэр, жишээ нь malware.exe
• файлын абсолют зам, жишээ нь C:\Users\User1\Downloads\malware.exe
• дараахыг агуулсан файлын зам:
  • хувьсагч, жишээ нь %AppData%\Malware\malware.exe

    Эдгээр хувьсагч нь Windows Known Folders-ийг заана. Хувьсагчийг зөвхөн файлын замын эхэнд ашиглана.

  • орлуулагч тэмдэгт (wildcard), жишээ нь **\AppData\**\*.exe

    Дэмжигдэх орлуулагч тэмдэгт гурван төрөлтэй:

    • ? — дурын нэг тэмдэгтийг орлоно
    • * — \ ба / тэмдэгтээс бусад тэг буюу түүнээс олон тэмдэгтийг орлоно.
    • ** — \ ба / тэмдэгтийг оруулаад тэг буюу түүнээс олон тэмдэгтийг орлоно.

Registry value-ийн нэрийг шалгахын тулд Registry Values талбарыг ашиглана. Оролт нь registry value-ийн бүтэн замыг агуулсан байх ёстой. Доорх жишээг үзнэ үү.

Registry key болон subkey-г шалгахын тулд Registry Keys талбарыг ашиглана. Оролт нь registry key эсвэл subkey-ийн бүтэн замыг агуулсан байх ёстой. Доорх жишээг үзнэ үү.

IOC scan-ийн хязгаарлалт

Даалгаварт нэмсэн IOC-д хүчинтэй файлын өргөтгөлд дараах орно: exe, dll, com, scr, jar, msi, msc, bat, ps1, vbs, vbe, js, jse, wsf, wsh, psc1, lnk, doc, docx, docm, xls, xlsx, xlsm, ppt, pptx, pptm, eml, rtf, pdf, html, ppsx, pps, ppsm, pot, potx, potm, ocx, sys, fnr, fne, pif.

Scan for IOC даалгавар дараах байршлыг шалгана:

• %Windows%\System32\Drivers
• %Windows%\System32\WindowsPowerShell\v1.0
• %Windows%\system32\config\systemprofile\AppData
• %Windows%\System32\Tasks
• %Windows%\System32\wbem
• %Windows%\SysWOW64\WindowsPowerShell\v1.0
• %Windows%\SysWOW64\config\systemprofile\AppData
• %Windows%\SysWOW64\sysprep
• %Windows%\Scripts
• %Windows%\System
• %Windows%\Web
• %Users%

Risk scan

Сонгосон төхөөрөмж дээр risk scan даалгаврыг хүссэн үедээ on-demand ажиллуулж болно. Үүний тулд:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Network хуудас руу орно.
3. 3
   Зүүн талын самбараас контейнеруудыг үзэж, шалгах төхөөрөмжүүдээ сонгоно.
4. 4
   Хүснэгтийн дээд талын Tasks товчийг дараад Risk scan-г сонгоно.

Баталгаажуулах хуудас гарна. Хүсэлтийг баталгаажуулахын тулд Yes-г дарна.

Exchange scan

Exchange scan даалгавраар Exchange Server-ийн өгөгдлийн санг алсаас шалгаж болно.

Exchange өгөгдлийн санг шалгахын тулд Exchange администраторын нэвтрэх мэдээллийг өгч on-demand шалгалтыг идэвхжүүлэх ёстой. Дэлгэрэнгүйг Exchange Store Scanning хуудаснаас үзнэ үү.

Exchange Server-ийн өгөгдлийн санг шалгахын тулд:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Network хуудас руу орно.
3. 3
   Харагдацын сонгогчоос Computers and Virtual Machines-г сонгоно.
4. 4
   Зүүн талын самбараас зорилтот Exchange Server-ийг агуулсан бүлгийг сонгоно. Сервер баруун талын самбарт харагдана.

   Тэмдэглэл

   Зорилтот серверийг хурдан олохын тулд хүсвэл шүүлтүүр хэрэглэж болно:

   • Filters цэсийг дараад Security табаас Managed (Exchange Servers), Depth табаас All items recursively сонголтыг сонгоно.
   • Холбогдох баганын толгойн талбаруудад серверийн hostname эсвэл IP-г оруулна.
5. 5
   Өгөгдлийн санг нь шалгах Exchange Server-ийн нүдийг тэмдэглэнэ.
6. 6
   Хүснэгтийн дээд талын Tasks товчийг дараад Exchange scan-г сонгоно. Тохиргооны цонх гарна.
7. 7
   Шалгалтын сонголтыг тохируулна:

   • General. Даалгаврын утга илтгэсэн нэр оруулна.

     Том өгөгдлийн сангийн хувьд шалгалтын даалгавар удаан үргэлжилж, серверийн гүйцэтгэлд нөлөөлж болно. Ийм үед Stop scan if it takes longer than нүдийг тэмдэглээд холбогдох цэснээс тохиромжтой хугацааг сонгоно.

   • Target. Шалгах контейнер болон объектыг сонгоно. Mailbox, public folder эсвэл хоёуланг нь шалгахаар сонгож болно. Цахим захидлаас гадна Contacts, Tasks, Appointments, Post Items зэрэг бусад объектыг шалгахаар сонгож болно.

     Шалгах агуулгад дараах нэмэлт хязгаарлалтыг тогтоож болно:

     • Зөвхөн уншаагүй мессеж
     • Зөвхөн хавсралттай зүйл
     • Зөвхөн заасан хугацааны завсарт хүлээн авсан шинэ зүйл

     Жишээ нь зөвхөн сүүлийн долоо хоногт хүлээн авсан хэрэглэгчийн mailbox-ийн захидлыг шалгахаар сонгож болно.

     Шалгалтын онцгой тохиолдол тодорхойлохыг хүсвэл Exclusions нүдийг тэмдэглэнэ. Онцгой тохиолдол үүсгэхийн тулд хүснэгтийн толгойн талбаруудыг дараах байдлаар ашиглана:

     1. Цэснээс repository-ийн төрлийг сонгоно.
     2. Repository-ийн төрлөөс хамаарч хасах объектыг зааж өгнө. Нэг удаад зөвхөн нэг зүйл оруулж болно. Ижил төрлийн хэд хэдэн зүйл байвал зүйлийн тоотой тэнцүү тооны дүрэм тодорхойлно.
        • Mailbox — Цахим шуудангийн хаяг
        • Public folder — Folder-ийн зам, root-оос эхлэн
        • Database — Өгөгдлийн сангийн identity; Тэмдэглэл: өгөгдлийн сангийн identity-г авахын тулд Exchange shell-ийн Get-MailboxDatabase | fl name,identity командыг ашиглана.
     3. Онцгой тохиолдлыг хадгалж жагсаалтад нэмэхийн тулд хүснэгтийн дээд талын Add товчийг дарна.

        Онцгой тохиолдлын дүрмийг жагсаалтаас устгахын тулд холбогдох Delete товчийг дарна.

   • Options. Дүрэмд таарсан цахим захидлын шалгалтын сонголтыг тохируулна:

     Зөвхөн тодорхой өргөтгөлтэй файлыг шалгахыг хүсвэл хоёр хувилбар байна:

     1. User defined extensions — зөвхөн шалгах өргөтгөлийг оруулна.
     2. All files, except specific extensions — шалгалтаас алгасах өргөтгөлийг л оруулна.

     • Scan file types. Аль төрлийн файлыг шалгахаа энэ сонголтоор тодорхойлно. Бүх файлыг (файлын өргөтгөлөөс үл хамааран), зөвхөн программын файлуудыг, эсвэл таны аюултай гэж үзэх тодорхой өргөтгөлтэй файлуудыг шалгахаар сонгож болно. Бүх файлыг шалгавал хамгийн сайн хамгаалалт өгнө. Харин илүү хурдан шалгахын тулд зөвхөн программыг шалгахыг зөвлөнө.

       Тэмдэглэл

       Программын файлууд бусад төрлийн файлаас хортой программын халдлагад илүү өртөмтгий байдаг.

     Шалгалтыг дараах байдлаар цаашид нарийвчилж болно:

     • Attachment / email body maximum size (MB). Шалгах хавсралт файл эсвэл захидлын биеийн хүлээн зөвшөөрөх дээд хэмжээг тогтоохын тулд энэ нүдийг тэмдэглээд холбогдох талбарт утга оруулна.
     • Archive maximum depth (levels). Нүдийг тэмдэглээд холбогдох талбараас архивын хамгийн их гүнийг сонгоно. Гүний түвшин бага байх тусам гүйцэтгэл өндөр, хамгаалалтын түвшин бага болно.
     • Scan for Potentially Unwanted Applications (PUA). Хэрэглэгчийн зөвшөөрөлгүйгээр системд суух, янз бүрийн программ хангамжийн үйл ажиллагааг өөрчлөх, системийн гүйцэтгэлийг бууруулах боломжтой adware зэрэг хортой эсвэл хүсээгүй байж болох программыг шалгахын тулд энэ нүдийг тэмдэглэнэ.
   • Actions. Илрүүлэлтийн төрлөөс хамаарч хамгаалалтын агентын файл дээр автоматаар хийх өөр өөр үйлдлийг тодорхойлж болно. Илрүүлэлтийн төрөл файлуудыг гурван ангилалд хуваана:
     • Infected files. Bitdefender файлыг malware signature, машин сургалт, хиймэл оюун (AI)-д суурилсан технологи зэрэг олон дэвшилтэт механизмаар халдвартай гэж илрүүлдэг.
     • Suspicious files. Эдгээр файлыг heuristic шинжилгээ болон Bitdefender-ийн бусад технологи сэжигтэй гэж илрүүлсэн. Эдгээр нь илрүүлэлтийн түвшин өндөр боловч зарим тохиолдолд буруу илрүүлэлт (сэжигтэй гэж илэрсэн цэвэр файл) гарч болзошгүйг хэрэглэгч анхаарах хэрэгтэй.
     • Unscannable files. Эдгээр файлыг шалгах боломжгүй. Нууц үгтэй, шифрлэгдсэн эсвэл хэт шахагдсан файл зэрэг шалгах боломжгүй файлд багтана.

     Илрүүлэлтийн төрөл бүрт анхдагч буюу үндсэн үйлдэл, үндсэн нь бүтэлгүйтвэл хийх нөөц үйлдэл байна. Зөвлөдөггүй ч эдгээр үйлдлийг холбогдох цэснээс өөрчилж болно. Хийх үйлдлээ сонгоно:

     • Remediate. Халдвартай файлаас хортой кодыг устгаж, анхны файлыг сэргээнэ. Зарим төрлийн хортой программын хувьд илэрсэн файл бүхэлдээ хортой тул цэвэрлэх боломжгүй. Халдвартай файлд хийх эхний үйлдлээр үүнийг үргэлж хэвээр үлдээхийг зөвлөнө. Сэжигтэй файлд цэвэрлэх горим байхгүй тул цэвэрлэх боломжгүй.
     • Reject / Delete email. Edge Transport үүрэгтэй сервер дээр илэрсэн захидлыг 550 SMTP алдааны кодоор татгалзана. Бусад бүх тохиолдолд захидлыг ямар ч сануулгагүйгээр устгана. Энэ үйлдлийг ашиглахаас зайлсхийхийг зөвлөнө.
     • Delete file. Асуудалтай хавсралтыг ямар ч сануулгагүйгээр устгана. Энэ үйлдлийг ашиглахаас зайлсхийхийг зөвлөнө.
     • Replace file. Асуудалтай файлыг устгаж, хэрэглэгчид авсан үйлдлийг мэдэгдэх текст файл оруулна.
     • Move file to quarantine. Илэрсэн файлыг хорионы хавтас руу зөөж, хэрэглэгчид авсан үйлдлийг мэдэгдэх текст файл оруулна. Хорио руу зөөсөн файлыг ажиллуулах, нээх боломжгүй тул халдвар авах эрсдэл арилна. Хорионд байгаа файлыг Quarantine хуудаснаас удирдана.

       Тэмдэглэл

       Exchange Server-ийн хорио нь хамгаалалтын агент суулгасан дискний хуваалтад нэмэлт зай шаардана. Хорионы хэмжээ хадгалсан зүйлийн тоо, хэмжээнээс хамаарна.

     • Report only. Илэрсэн файлд ямар ч үйлдэл хийхгүй. Эдгээр файл зөвхөн шалгалтын бүртгэлд (log) харагдана. Шалгалтын даалгавар анхдагчаар сэжигтэй файлыг үл тоохоор тохируулагдсан. Сэжигтэй файлыг хорио руу зөөхийн тулд анхдагч үйлдлийг өөрчлөх хэрэгтэй байж болно.
8. 8
   Шалгалтын даалгаврыг үүсгэхийн тулд Save-г дарна. Баталгаажуулах мессеж гарна.
9. 9
   Даалгаврыг Network > Tasks хуудсанд харж удирдана. Дэлгэрэнгүйг Network дахь даалгаврыг (Tasks) харж удирдах хуудаснаас үзнэ үү.