ניתוח הפריצה

תמלול ההרצאה: ניתוח הפריצה

הטקסט המלא של הדקות הראשונות בהרצאה «ניתוח הפריצה» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה זו נדבר על שלב של דטקשן, של איתור התקיפה, איך אנחנו בכלל יודעים שתקפו אותנו, ואיך אנחנו מתחילים לנתח את האירוע שלנו, את התקרית הזאת.

2. 00:16

   זאת אומרת, עד עכשיו התכוננו לתקיפה, עשינו את כל ההכנות בהרצאות הקודמות, דיברנו איך מכינים, מה עושים, לדוגמה, מונעים מיילים של פישינג, מתקינים תוכנות אנטיווירוס אידיאריים, שזה אנטיווירוס משוכלל יותר, התכוננו, התכוננו, התכוננו, עכשיו קורית תקיפה.

3. 00:36

   מה אנחנו עושים? דבר ראשון, בכלל צריך לדעת שתקפו אותנו. איך נדע שיש לנו אינסדנט, תקרית? זה יכול להיות על ידי מידע שזורם לנו מחיישנים שונים, כמו לוגים, כמו עובד שפתאום מתלונן על התנהגות לא נורמלית. פתאום המחשב שלו מתחיל לשלוח מלא פאקטים,

4. 00:57

   המחשב נחסם. זה יכול להיות גם מאנטיווירוס ומאידיאר, אמרנו אידיאר זה אנטיווירוס משוכלל יותר שרואה התנהגות לא נורמלית בתחנת העבודה.

5. 01:08

   שימו לב, הוא לא באמת אנטיווירוס, הוא לא מחפש וירוסים, הוא משלים לאנטיווירוס על ידי ניתוח התנהגות רגילה מול התנהגות נוכחית. זה מוצר משלים לאנטיווירוס.

6. 01:22

   יש גם מערכות של IDS, אמרנו שזה Intrusion Detection System, מערכת זיהוי פולש, לדוגמה בצ'ק פוינט או בפיירוול יש מערכת כזאת שאומרת פתאום תחנה מתחילה לשדר משהו חשוד.

7. 01:35

   המערכת הזאת היא IDS, היא יכולה להיות מותקנת גם בתחנות עבודה וגם בפיירוולים, יש כל מיני תצורות איך להתקין את זה. אז היא מזהה את הפולש.

8. 01:45

   זה יכול להיות פיירוול רגיל שפתאום נותן לי איזושהי התראה בלוג, וזה יכול להיות סים. סים זו התוכנה שמרכזת לוגים, אירועים מכל שאר המערכות, שהכל מתנקז לשם.

9. 01:58

   לתוך סים למעשה אנחנו הולכים להסתכל על הסים הזה הכי הרבה וכשקורה אירוע ואנחנו רוצים להתעמק אז אנחנו נכנסים לכל מערכת בנפרד סים זאת מערכת מרכזית של כל הלוגים בארגון של כל מה שקורה כאשר לתוך סים לא באמת מגיעים כל הלוגים אלא רק אלו שבחרנו להתמקד בהם אם אנחנו רוצים ממש את כל הלוגים לקבל צריך להיכנס לכל מערכת בנפרד ובארגון יש מאות מערכות שעובדות

10. 02:25

    ואלפי שרתים יש יש לנו כל מיני פעולות שאנחנו עושים כדי לצוד את הווירוס או את התוכנה הזדונית. לדוגמה, אנחנו שמים מערכת כאילו פרוצה, כאילו פתוחה, שקל להיכנס אליה, אבל למעשה אנחנו מאחורי הקלעים עוקבים אחרי המערכת הזאת.

11. 02:45

    כאילו כמו פיתיון כזה. זה נקרא האני ספוט. נניח שרת עם סיסמה חלשה או קובץ בשם פאסוורדס, כאילו אנחנו קוראים לקובץ בשם פאסוורדס, כאילו יש שם סיסמאות ובפועל אף אחד לא אמור לגשת לקובץ הזה ושמנו ניטור על ידי תוכנה מיוחדת שעוקבת מי ניגש לקובץ הזה כי בגדול לקובץ פסוורדס

12. 03:08

    ששמנו כפיתיון אף אחד לא אמור לגשת ואם מישהו ניגש אליו אנחנו יודעים שזה איזה מיילוויר או איזשהו וירוס שמתרוצץ ברשת וחיפש קבצים עם שמות מעניינים וניגש לשם אז זה נקרא פיתיונות האני ספורטס ודי נהוג לשים אותם. ככה אנחנו גם יודעים מהם הפעולות שהווירוס מנסה לעשות, אנחנו גם יודעים שהוא קיים,

13. 03:33

    וכמובן שיכולות להיות חברות צד שלישי, third party, חברות חיצוניות, שותפים שלנו, שפתאום מתקשרים ואומרים, תקשיב, קיבלתי ממך פתאום מייל שאתה צריך דחוף כסף, זה אמיתי או לא?

14. 03:46

    אני אומר, מה זה קיבלת ממני אימייל? לא שלחתי אותו. אז כנראה ששרת הדואר שלי נפרץ ממישהו שהולך בשמי כל מיני אימיילים.

15. 03:54

    אז צד שלישי מודיע לי שנפרצתי. בקיצור, אני יכול לדעת על הפריצה או מהעובדים או מכל מיני תוכנות כמו EDR, IDS, Firewall, כל מיני תוכנות שמתריעות לי או פיתיון ששמתי בכוונה או צד שלישי שמודיע לי.

16. 04:12

    ברגע שאני יודע שקרה אירוע כלשהו, אני צריך לקבל החלטות כמה זה חמור, האם זה קורה בפרימטר, ברשת החיצונית שלי. מה זה רשת חיצונית?

17. 04:24

    רשת שחשופה לאינטרנט, לא הרשת הפנימית. השרתים שלי שעומדים ואפשר להיכנס מאינטרנט אליהם. רשת DMZ, זוכרים שאמרתי לכם שיש רשת שנקראת DMZ, שבתוכה עומדים שרתים שאמורים להיות חשופים לאינטרנט?

18. 04:39

    אנשים אמורים להתחבר אליהם מהאינטרנט, לדוגמה שרת ווב שלי, שרת עם אתר האינטרנט. אז יכול להיות שמישהו פרץ לשרת שחשוף לאינטרנט, אבל זה לא כזה חמור, כי אין שם מידע כל כך סודי, כל המידע הסודי נמצא באינטרנל נטוורק, ברשת הפנימית.

19. 04:58

    אז יכול להיות שפרצו אפילו לרשת פנימית, לדוגמה שלחו איזשהו מייל פישינג והצליחו לפרוץ. יכול להיות שפרצו לתחנת עבודה, אנד פוינט לבו, כאילו פריצה ברמת תחנת עבודה זה לא כזה חמור כמו פריצה לשרת, כי כל המידע הסודי שלי נמצא בשרת.

20. 05:15

    ויכול להיות פריצה ברמת אפליקציה ספציפית, רק תוכנה אחת נפרצה, לא כל המחשב נפרץ. זאת אומרת שהפורץ שולט רק על תוכנה אחת, וזה יכול להיות פחות חמור.

21. 05:27

    אני צריך להבין מה קורה. שימו לב, לכל תוכנה יש את הלוגים שלה, את התיעוד של האירועים שקרו אצלה, אז אני יכול גם לעקוב אחרי זה. למעשה, אני מתחיל חקירה. אני מתחיל להיות בלש שאוסף כל מיני אירועים חריגים ומסדר אותם לפי הזמן, לפי טיימליין, לפי סדר האירועים שקרו.

22. 05:50

    לדוגמה אני צריך לתעד את השעה, אני צריך לתעד מי זיהה את זה, איזה מערכת זיהתה את זה, מה היה האירוע, האם זה פישינג, אימייל שמפתה את היוזר ללחוץ על איזה לינק ולהוריד איזה קובץ, או שזה היה ורניביליטי, ורניביליטי זה חולשה בשרת, שהיה חור אבטחה בשרת, אני צריך להבין איזה מערכות נפגעו, על מי היה אימפקט, מי הושפע מהפרצה הזאת,

23. 06:16

    האם בעיה רק בשרתי הדואר או בעיה בכל הרשת או רק בשרת קבצים? על מה זה משפיע? אני צריך לאסוף את כל המידע הזה, גם לתעד איזה פעולות ננקטו, מי עובד עם המערכות הבעייתיות, באיזה מיקום ובאיזה כתובות IP כל זה קורה, ומה השמות של שרתים בתחנות עבודה, הוסטניים זה שם של מחשב, שזה קורה שם כל

24. 06:40

    הבעיה. את כל זה אני מרכז לטבלה. כל הממצאים שלי, אני בעצם כותב כזה מסמך כי אני הולך להיכנס למאות מקומות ולחפש מה קרה ואני צריך איזשהו