Network တစ္ခုဆီသို႔ အခြင့္မရွိဘဲ ရပိုင္ခြင့္မ်ားကုိ အသံုးျပဳသြားေသာ နည္းလမ္းမ်ားမွ တစ္ခုျဖစ္ေသာ Backdoors Attack ၏လုပ္ေဆာင္ခ်က္

Backdoors Attack ဆိုတာဘာလဲဆိုေတာ့ Hacker မ်ားသည္ ထိန္းခ်ဳပ္ထားေသာ ေနရာမ်ားမွ Network တစ္ခုဆီသို႔ အခြင့္မရွိဘဲ System Administrator အေနျဖင့္ အသံုးျပဳသြားႏိုင္ေသာ နည္းလမ္းတစ္မ်ိဳးျဖစ္သည္။ ထို Hacker မ်ားသည္ System Administrator Access ရပိုင္ခြင့္မ်ားကို အသံုးျပဳ၍ Remote Control လုပ္သြားႏိုင္ျခင္းကို Backdoors လုပ္သြားသည္ဟု ေခၚေ၀ၚၾကေပသည္။

Backdoor ဘယ္လိုအလုပ္လုပ္သြားသလဲ။

Backdoors သည္ ဘယ္လိုအလုပ္လုပ္သြားသလဲဆိုတာေတာ့ Hacker မ်ားသည္ အားနည္းခ်က္မ်ားကို အသံုးျပဳ၍ System မ်ားေပၚတြင္ Backdoors ျဖစ္ေအာင္ ဖန္တီးျပီး Network တစ္ခုထဲသို႔၀င္ေရာက္သြားမည္။ ထိုမွတစ္ဆင့္ အသံုးမျပဳေသာ Account မ်ား၏ Password မ်ားကို အလြယ္တကူ Crack လုပ္လိုက္ျပီး Network အတြင္းရွိ အားနည္းခ်က္မ်ားကို ရွာေဖြသည္။ ထို႔ေနာက္ ခန္႔မွန္း၀င္ေရာက္ႏိုင္ရန္ ခက္ခဲ မည့္ Password တစ္ခုအျဖစ္ ေျပာင္းလဲလိုက္သည္။

System Administrator သည္ Network အတြင္းသို႔ ၀င္ေရာက္မည္ဆိုေသာအခါ Account အတြက္ Password သည္ Hacker မ်ားမွ ေျပာင္းလဲထားေသာေၾကာင့္ ၀င္ေရာက္ႏိုင္ျခင္း မရွိေတာ့ေပ။ သို႔ပါ၍ ထိုသို႔ မျပဳလုပ္ႏိုင္ေစရန္ Account လုပ္ထားျပီး အသံုးမျပဳျခင္း နည္းပါးေသာ Account မ်ားကို ရွင္းလင္းထားသင့္ျပီး သင္၏ Network အား Lock ခ်ထားသင့္ေပသည္။

Backdoor သည္ Hacker မ်ားအေနျဖင့္ Malware ကို Install လုပ္လိုက္ျပီး Network အတြင္းမွ သတင္းအခ်က္အလက္မ်ားကို ခိုးယူျခင္း၊ ဖ်က္ျခင္း၊ ျပင္ျခင္းစသည့္ Administrator တစ္ေယာက္ကဲ့သို့ ျပဳလုပ္ႏိုင္ၾကသည္။ Backdoor ျဖင့္ သင္၏ Network အား DoS attack ျဖစ္ေအာင္ျပဳလုပ္ႏိုင္ေပသည္။ DoS attack သည္ မ်ားစြာေသာ သတင္းအခ်က္အလက္ Packet မ်ားကို Network ေပၚသို႔ေပးပို႔ျခင္းအားျဖင့္ Network ကို ပ်က္ေတာက္သြားေအာင္ စြမ္းေဆာင္ႏိုင္ ေပသည္။

Hacker မ်ားက Network ၏ အားနည္းခ်က္ကို ဘယ္လိုရွာေဖြမလဲ။

Hacker မ်ားသည္ Network တစ္ခုေပၚတြင္ Backdoor တစ္ခုကို ဖန္တီးရန္ သင္႔ System ၏ အားနည္းခ်က္ကို ရွာေဖြမည္။ Hacker မ်ားသည္ Network System ထဲရွိ အားနည္းခ်က္မ်ား (OS, Application Software, Hardware, Network, Server အစရွိသျဖင့္) ကို ရွာေဖြရာတြင္ အထူးျပဳလုပ္ထားေသာ Software မ်ားကို အသံုးျပဳျခင္းအားျဖင့္ အားနည္းခ်က္မ်ားကို သိရွိသြားမည္ ျဖစ္သည္။ ၄င္းတို႔၏ အဓိက ပစ္မွတ္သည္ အသံုးမျပဳေသာ Account မ်ားႏွင့္ Service မ်ားကို ရွာေဖြၾကသည္။ ထို႔ေနာက္ ေတြ႔ရွိခ်က္မ်ားမွု တစ္စံုတစ္ခုေသာ အားနည္းခ်က္ကို ေရြးခ်ယ္၍ သင္၏ မူလ System ကို ဖယ္ရွားလိုက္ျပီး တူညီေသာ အမည္ျဖင့္ ၄င္းတို႔ ဖန္တီးထားေသာ System အသစ္တစ္ခုကို အစားထိုးလိုက္သည္။

တစ္ခ်ိန္တည္းမွာဘဲ Hacker မ်ားသည္ System Directory မ်ားထဲတြင္ ၄င္းတို႔ ဖန္တီးထားေသာ File မ်ားကို အမည္မ်ားေပးျပီး ၀ွက္ထည့္ထားကာ Network ၏ ရပိုင္ခြင့္မ်ားကို ျပဳလုပ္သည္။ ထိုနည္းျဖင့္ ရွာေဖြ၍ ရရွိလာေသာ Port တစ္ခုမွ Backdoor ရရွိေအာင္ ဖန္တီးေတာ့သည္။ System Administrator မွ ၄င္း၏ Network အား စစ္ေဆးေသာအခါ Hacker မ်ားမွ သို၀ွက္စြာ ဖန္တီးထားေသာ File မ်ားေၾကာင့္ System Log တြင္ မည္သည့္ အမွားအယြင္းမွ ေတြ႔ရွိမည္ မဟုတ္ေပ။ ထို႔ေၾကာင့္ သင့္ Network အား Backdoor ျဖစ္ျခင္းမွ ကာကြယ္ရန္ ေအာက္ပါအခ်က္မ်ားကို ေယဘုယ်အားျဖင့္ ျပဳလုပ္ထားသင့္ပါသည္။

၁။ Latest Update ျဖစ္သည့္ Virus Protection Software ကိုအသံုးျပဳပါ။
၂။ Firewall ကို အသံုးျပဳပါ။
၃။ မိမိႏွင့္မသိေသာသူမ်ားဆီမွ Email Attachments မ်ားကို မဖြင့္ၾကည့္သင့္ပါ။
၄။ Hidden လုပ္ထားေသာ Filename မ်ား၏ extensions မ်ားကို Disable လုပ္ထားပါ။
၅။ မိမိ OS အတြင္းရွိ Application မ်ား၏ Patch မ်ားကို Update လုပ္ပါ။
၆။ သင္သည္ ကြန္ပ်ဴတာ အသံုးမျပဳပါက သင့္ ကြန္ပ်ဴတာႏွင့္ခ်ိတ္ဆက္ထားေသာ Network ကို ျဖဳတ္ထားပါ။
၇။ Java, JavaScript အစရွိေသာ Script မ်ား အလြယ္တကူ အလုပ္လုပ္မလုပ္ႏိုင္ေစရန္ ပိတ္ထားပါ။
၈။ Email Program အတြင္းရွိ Scripting Features မ်ားကို ပိတ္ထားပါ။
၉။ မိမိ၏ Data မ်ားကိုပံုမွန္ Backup ျပဳလုပ္ေပးပါ။

Hacker မ်ား သည္ Backdoor ပံုစံ အမ်ိဳးမ်ိဳးရိွ ျဖင့္ မိမိစက္ကို Full Access Right ရရွိသြားျခင္းပင္ ျဖစ္သည္။ ထို႔ေၾကာင့္ System Administrator သည္ မိမိ၏ Network အား ကာကြယ္ရန္ Latest Technique မ်ား၊ Latest Software မ်ား ႏွင့္ Latest Version မ်ားကို အသံုးျပဳသင့္ေပသည္။ ထို႔အျပင္ အသစ္အသစ္ျဖစ္ေနသည့္ လိုအပ္ေသာ နည္းပညာႏွင့္ဆိုင္ေသာ သတင္းမ်ားကိုလည္း Internet တြင္ အျမဲေစာင့္ၾကည့္ ေလ့လာသင့္ေပသည္ဟု အၾကံျပဳတင္ျပရင္း ဒီတစ္ပတ္ ေဆာင္းပါးကို အဆံုးသတ္လိုက္ပါသည္။

Read More

Portspoof ျဖင့္ Attacker မ်ားအားလွည့္စားျခင္း

Portspoof ဆိုသည္မွာ ေပါ့ပါးေသာ Tool တစ္ခုျဖစ္ျပီး Firewall System နွင့္ Security System ကို အေထာက္အကူေပးေသာ Tool တစ္ခုလည္းျဖစ္သည္။ ၄င္း Tools ၏ရည္ရြယ္ခ်က္မွာ Information-gathering ကိုတတ္နိုင္သမွ်ေနွးေကြးေစျပီး Attacker မ်ားအားအေနွာင့္အယွက္ျဖစ္ေစသည္။ Portspoof ၏ အလုပ္လုပ္ပံုမွာ Firewall မွ Forward လာေသာ Resquest မ်ားကို Fake Response ေပးျခင္းျဖစ္သည္။ Attacker သည္ Portspoof စက္ကို Port Scan ျပုလုပ္သာအခါတြင္ iptables သို့ပထမဦးစြာျဖတ္သန္းသြားသည္။ ၄င္း iptables မွ Rule အတိုင္း Server သည္ Response ျပန္သည္။ iptables တြင္ လာသမွ် Port Resquest မ်ားကို Portspooof ၏ Default Port ျဖစ္ေသာ 4444 သို့ Forward လုပ္ထားေသာေျကာင့္ Portspoof မွ Port မ်ားအားလံုးအမွန္တကယ္ ပြင့္မေနပဲ ပြင့္ေနပါသည္ဟု Fake Response ေပးျခင္းျဖစ္သည္။

Iptables ကို ေအာက္ပါအတိုင္း Forward Rule ေရးနုိ္င္သည္။

Portspoof ကို www.portspoof.org တြင္ download ျပုလုပ္ကာေအာက္ပါအတိုင္ Compile ျပုလုပ္နိုင္သည္။

Portspoof သည္ အဓိက File နွစ္ခုျဖင့္အလုပ္လုပ္ျခင္းျဖစ္သည္။၄င္း File မ်ားမွာ /etc/ ေအာက္တြင္ရိွသည္။ /etc/portspoof.conf တြင္ Portspoof ၏ Reply ျပန္မည့္ rule မ်ားကိုေရးသားထားျပီး /etc/portspoof_signatures တြင္ Scanning Tool မ်ား၏ Signature မ်ားကိုေရးသားထားသည္။ Portspoof ကို ေအာက္ပါ command ျဖင့္စတင္အသံုးျပုနိုင္သည္။
portspoof -c /etc/portspoof.conf -s /etc/portspoof_signatures -D
-c file_path : Portspoof configuration file
-s file_path : Portspoof service signature regex. file
-D run as daemon process

Attacker မွ Portscan ျပုလုပ္ေသာအခါတြင္ေအာက္ပါအတို္င္းေတြ့ရမည္ျဖစ္သည္။ပံုတြင္ေတြ႔ရေသာ Port မ်ားမွာ အမွန္တကယ္ပြင့္မေနေသာ Port မ်ားျဖစ္သည္။ Iptables တြင္ Forward လုပ္ထားေသာ Port မ်ားျဖစ္ေသာ 1 to 65535 အထိ ပြင့္ေနသည္ဟု Reply ျပန္မည္ျဖစ္သည္။

Reference:

http://resource.infosecinstitute.com/fool_network_hunters_hackers.html

Read More

Vulnerability Management အေၾကာင္း သိေကာင္းစရာ (Risk မ်ားကို အဆင့္သတ္မွတ္၍္ Attacker ရႈေထာင့္မွ သံုးသပ္ျခင္း)

Vulnerability Management ဆိုသည္မွာ အားနည္းခ်က္မ်ားေပၚတြင္ identifying,classifying, remediating ႏွင့္ mitigating ျပဳလုပ္ၾကျခင္းျဖစ္ပါသည္။ အထူးသျဖင့္ Software ႏွင့္ Firmware မ်ားေပၚတြင္ ရွာေဖြလုပ္ေဆာင္ျခင္းျဖစ္ပါသည္။ Vulnerability Management သည္ Computer Security ႏွင့္ Network Security မ်ားအတြက္ အေရးၾကီးေသာ လုပ္ေဆာင္ခ်က္တစ္ခုျဖစ္ပါသည္။

System မ်ားႏွင့္ Network မ်ားကို Configure ျပဳလုပ္ၾကရာတြင္ မိမိတို႔ အသံုးျပဳထားသည့္ Network ႏွင့္ System မ်ား၏ အားသာခ်က္၊ အားနည္းခ်က္မ်ားကို သိရွိထားရန္လိုအပ္ေပသည္။

အဘယ္ေၾကာင့္ဆိုေသာ္ Attacker အမ်ားစုသည္ Time Investment ႏွင့္ Resource မ်ားကို ျဖစ္ႏိုင္သမွ် အနည္းဆံုးျဖင့္သာ Attack ျပဳလုပ္ရန္ ရည္ရြယ္ေလ့ရွိသည္။ ထို႔အတြက္ Vulnerability မ်ားကို ျပင္ဆင္၊ ထိန္းသိမ္း၊ ကာကြယ္ႏိုင္ရန္ အတြက္ Attacker ရႈေထာင့္မွ ေန၍ စဥ္းစားေတြးေခၚ ႏိုင္ရန္လိုအပ္ပါသည္။

Attacker ရႈေထာင့္မွ စဥ္းစားၾကည့္မည္ဆိုပါက မိမိတို႔အေနႏွင့္ မည္သို႔ေသာ Compromising System မ်ား၊ အက်ိဳးရွိႏိုင္ေသာ အားနည္းခ်က္မ်ား ကိုမည္သို႔အသံုးခ်ၾကမည္နည္း ။ မိမိတို႔ Network အတြင္းတြင္ မည္သည့္အခ်က္အလက္၊ စနစ္မ်ားသည္ အဓိကအေရးၾကီးေသာ ေသာ့ခ်က္မ်ားျဖစ္သနည္း။ ထိုအားနည္းခ်က္မ်ားကို မည္သို႔ ထိန္းခ်ဳပ္မည္နည္း။

Attacker မ်ားအေနႏွင့္ စတင္တိုက္ခိုင္ေတာ့မည္ဆိုပါက အစဦးစြာ အသံုးျပဳထားေသာ System မ်ား နွင့္ Network မ်ား၏ အခ်က္အလက္မ်ားမွတစ္ဆင့္ မည္သည့္ အားနည္းခ်က္မ်ားသည္ ရွိေနသနည္း၊ မည္သို႔ ထိန္းခ်ဳပ္၍ ရႏိုင္မည္နည္း စသည္တို႔ကို အလြယ္တစ္ကူ သိရွိႏိုင္ေသာ၊ အမ်ား သိရွိျပီးသားျဖစ္သည့္ အားနည္းခ်က္မ်ားမွ စတင္ၾကေလ့ရွိသည္။ သို႔ေသာ္လည္း ေနာက္ပိုင္းတြင္ zero-day exploits ကဲ့သို႔ေသာ Attack မ်ားပို၍ အသံုးျပဳလာၾကေသာ္လည္း၊ အမ်ားအားျဖင့္ ယခင္ နည္းေဟာင္းမ်ားကိုသာအဓိက ေရြးခ်ယ္ၾကေပသည္။ အတိအက်အားျဖင့္ ဆိုေသာ္ အမ်ားဆံုးျဖစ္ေပၚေသာ Attack မ်ားႏွင့္ Exploit မ်ားသည္ ရွင္းလင္းစြာသိရွိထားျပီးျဖစ္ေသာ နည္းစနစ္အေဟာင္းမ်ားျဖင့္ တိုက္ခိုက္ခံရျခင္းမ်ားျဖစ္ေပသည္။

မည္သည့္ အားနည္းခ်က္မ်ားသည္ အဓိက တိုက္ခိုက္ခံရႏိုင္ေၾကာင္းကို မည္သို႔ အလြယ္တစ္ကူ သိရွိႏိုင္မည္နည္း။

အဓိက ေသာ့ခ်က္အေနႏွင့္ Threat Intelligence မ်ားကို အသံုးျပဳ၍ system vulnerability မ်ားကို ေလ့လာစမ္းစစ္ႏိုင္ရံုသာမက၊ အားနညး္ခ်က္မ်ားကိုလည္း အဆင့္သတ္မွတ္ခြဲျခား ႏိုင္ေပသည္။ ထိုမွတစ္ဆင့္ Attacker မ်ားသည္ မည္သို႔ ၀င္ေရာက္ႏိုင္ေၾကာင္းကို ၾကိဳတင္ခန္႔မွန္းသိရွိႏိုင္မည္ျဖစ္သည္။

AlienVault Unified Security Management(USM) ကိုအသံုးျပဳ၍ အားနည္းခ်က္မ်ား အဆင့္သတ္မွတ္ျခင္း

AlienVault Unified Security Management(USM) ဆိုသည္မွာ လက္ရွိျဖစ္ေပၚေနေသာ အားနည္းခ်က္မ်ား ကို အခ်ိန္ႏွင့္ တစ္ေျပးညီ သိရွိႏိုင္ေသာ Vulnearability Management Software အမ်ိဳးအစားျဖစ္ပါသည္။

၎တြင္ asset inventory, host-based IDS, network IDS, netflow analysis, file integrity monitoring ႏွင့္ SIEM event correlation မ်ားပါ၀င္သည့္ အတြက္ real-time အခ်က္အလက္မ်ားအားလံုးကို single screen တြင္ အလြယ္တစ္ကူ ၾကည့္ရႈ၊ သိရွိႏိုင္ေသာ Software အမ်ိဳးအစားျဖစ္သည္။

ထို Software တြင္ပါရွိေသာ Alarm စနစ္မွ တစ္ဆင့္ မည္သည့္ malicious IPs သည္ အားနည္းခ်က္မ်ားရွိေနေသာ မည္သည့္ host ႏွင့္ အျပန္အလွန္ဆက္သြယ္မႈရွိေနေၾကာင္းကို အေသးစိတ္အခ်က္အလက္မ်ား၊ အားနည္းခ်က္မ်ား ႏွင့္ ရွာေဖြေတြ႔ရွိေသာ အခ်က္အလက္မ်ားအား တိုက္ရိုက္ Report တင္ေပးႏိုင္သည္အထိ ပါ၀င္ပါသည္။

Built-in Active Vulnerability Scanning and Assessment

AlienVault USM တြင္ အျခားေသာ Function တစ္ခုျဖစ္ေသာ continuous vulnerability monitoring စနစ္လည္းပါ၀င္ပါသည္။ ထို စနစ္သည္ passive vulnerability detection အမ်ိဳးအစားျဖစ္ပါသည္။

ထိုစနစ္တြင္ USM သည္ ၎ရရွိထားေသာ အခ်က္အလက္မ်ားအရ မည္သည့္ vulnerability အမ်ိဳးအစားကို အသံုးျပဳ၍ attacker မွတိုက္ခိုက္ေနေၾကာင္း၊ သို႔မဟုတ္ မည္သို႔ ေသာ traffic မ်ားအသြားအျပန္ရွိေနေၾကာင္းကို Scan ျပဳလုပ္ေပးႏိုင္ပါသည္။ ထိုသို႔ ျပဳလုပ္ေပးႏိုင္ရာတြင္ Unauthenticated Scanning ႏွင့္ Authenticated Scanning စေသာ ၂ မ်ိဳးစလံုးကို လုပ္ေဆာင္ေပးႏိုင္ပါသည္။

ထို ၂ နည္း၏ ကြာျခားခ်က္မွာ Unauthenticated Scanning တြင္ Victim Host OS တြင္ မည္သည့္ အားနည္းခ်က္ကိုအေျခခံ၍ေသာ္လည္းေကာင္း၊ မည္သည့္configuration သို႔မဟုတ္ အားနည္းခ်က္ရွိေသာ Software ကိုအသံုးျပဳ၍ ေသာ္လည္းေကာင္း Remote Attacker ႏွွင့္ Host အၾကား အျပန္အလွန္ Traffic မ်ားကို အေျခခံ scan ျပဳလုပ္ေပးသည္။

Authenticated Scanning အမ်ိဳးအစားတြင္ ထို System အတြင္းရွိ အားနည္းခ်က္မ်ား၊ မွားယြင္းေနေသာ Configuration မ်ားကို ၀င္ေရာက္စုေဆာင္း၊ စံုစမ္းေသာ နည္းျဖင့္ Scan ျပဳလုပ္ေပးသည္။

ဥပမာအားျဖင့္ အသံုးျပဳသူအေနႏွင့္ မိမိ Scan ျပဳလုပ္လိုေသာ compliance-related assets မ်ားေပၚတြင္ passive vulnerability assessment အေနႏွင့္ network traffic နည္းႏိုင္သမွ်ေသာ နည္းျဖင့္ scan ျပဳလုပ္၍ vulnerability မ်ားကိုရွာေဖြႏိုင္သကဲ့သို႔၊ အျခားေသာ schedule scans အေနႏွင့္လဲ network segments မ်ားကို ပံုမွန္ေလ့လာ ဆန္းစစ္ႏိုင္ပါသည္။

Remediation Advice for Every Vulnerability

AlienVault USM သည္ အျခား စနစ္တစ္ခုျဖစ္ေသာ remediation advice မ်ားလည္းလုပ္ေဆာင္ေပးႏိုင္ပါသည္။ ထိုစနစ္တြင္ USM အေနႏွင့္ ရွာေဖြေတြ႔ရွိထားေသာ vulnerability အမ်ိဳးအစားအရ မည္သို႔ေသာ အားနည္းခ်က္မ်ားကို ျဖစ္ေပၚေစႏိုင္ေၾကာင္းကို dynamic incident response template မ်ား၊ 3rd party references မ်ားႏွင့္တစ္ကြ အၾကံျပဳေပးႏိုင္ေသာ စနစ္ျဖစ္ပါသည္။

ထိို႔အျပင္ အျခားေသာ လုပ္ေဆာင္ခ်က္မ်ားအေနႏွင့္ alert mail မ်ားပို႔ေပးျခင္း၊ ticketing system မ်ား setup ျပဳလုပ္ထားပါကလည္း အလိုအေလ်ာက္ ticket ဖြင့္ေပးျခင္း၊ သက္ဆိုင္ရာ ျပင္ပမွ help desk သို႔မဟုတ္ ticketing system မ်ားဆီသို႔ email ပို႔ေပးျခင္းမ်ား ကိုလည္းလုပ္ေဆာင္ေပးႏိုင္ပါသည္။ ထိုစနစ္တြင္ပါရွိေသာ vulnerability မ်ားႏွင့္ပက္သက္သည့္ update အခ်က္အလက္မ်ားကို USM Database တြင္အလိုအေလ်ာက္ up-to-date ျဖစ္ေနေစရန္ AlienVault Labs Security Research Team မွစီစဥ္ေပးထားပါသည္။

Learn more about Vulnerability Management with AlienVault USM

Vulnerability management is never “done” ဆိုသည့္အတိုင္း တိုးတက္မ်ားျပားလာေသာ attack vectors မ်ားႏွင့္ ပိုမိုရႈပ္ေထြးေသာ software စနစ္မ်ားအတြက္ အခ်ိန္အားေလ်ာ္စြာ monitoring ျပဳလုပ္ႏိုင္ရန္လိုအပ္ေပသည္။

အေသးစိတ္အခ်က္အလက္မ်ားကို သက္ဆိုင္ရာ USM စနစ္၏ Website ျဖစ္ေသာ http://www.alienvault.com/ တြင္ထပ္မံေလ့လာႏိုင္ပါသည္။

Reference:

http://en.wikipedia.org/wiki/Vulnerability_management
http://thehackernews.com/2014/06/vulnerability-management-think-like.html
https://www.alienvault.com/solutions/vulnerability-management
https://www.alienvault.com/solutions/threat-management
https://www.alienvault.com/solutions/network-security-monitoring

Read More