אינדיקציה לחדירה - IOC

בלי כתוביותעם כתוביות

מילון מושגים:

MD5 - פונקציית האש ותיקה שמפיקה ערך באורך קבוע. נחשבת לא בטוחה לשימושים קריפטוגרפיים.

אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.

EDR - פתרון אבטחה שמנטר תחנות קצה, מזהה פעילות חשודה ומאפשר תגובה לאיומים.

WMI - ממשק של Windows לשליפת מידע על המערכת ולניהולה באופן תוכנתי, בעיקר דרך סקריפטים.

CMD - שורת הפקודה הקלאסית של Windows (Command Prompt), להרצת פקודות ותוכניות בממשק טקסטואלי.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

מטמון - אחסון זמני ומהיר של נתונים שנדרשים שוב, כדי להאיץ גישה ולהפחית עומס מהמקור המקורי.

WinRM - שירות של Windows לניהול מרחוק של מחשבים, להרצת פקודות וסקריפטים דרך הרשת.

אינדיקציה לחדירה - IOC

בשיעור זה נכנסים לחלק המעשי של שלב האיתור והניתוח, לומדים מהם אינדיקציות לחדירה ואיך עושים בעזרתן חקירה בכל הרשת, מכירים את עולם ה-hash והחתימות הדיגיטליות של קבצים, רואים איך כותבים חוקי YARA למערכות ההגנה, ולומדים להיזהר מהתרעות שווא ומחשיפת סיסמאות בזמן הסריקה.

נושאי הסיכום המוצגים בשיעור:

1. מטרת החקירה: אנחנו רוצים לוודא שהפריצה לא תחזור על עצמה, ולכן חייבים לגלות איך התוקפים נכנסו אלינו, איך חדרו ועל מה השפיעו, ומכאן מתחילה ה-investigation, החקירה שלנו.

2. מהו IOC: Indicator of Compromise הוא סימן לחדירה, והוא יכול להיות קובץ שהתוכנה הזדונית השאירה בדיסק, או תקשורת לכתובת IP שבה יושב שרת השליטה של האקרים, מה שנקרא C2.

3. חיפוש נפגעים נוספים: ברגע שמזהים אינדיקציה אחת, למשל קובץ זדוני בדיסק של מחשב אחד, מחפשים אותה בכל המחשבים ברשת, כי ייתכן שהפורץ הספיק להשתלט על מחשבים נוספים, וכך מגלים מערכות נפגעות חדשות ומוסיפים אינדיקציות חדשות.

4. התמונה הכוללת: בארגון יש מאות מערכות שעובדות במקביל ולרוב הן מחולקות לתתי רשתות, כך שפגיעה במשהו לא אומרת שהכל נפגע, וצריך לקחת את הסימן המזהה, לחקור את המערכות שנפגעו, לגלות עוד סימנים ולחזור ולסרוק את כל הארגון עד שמבינים את התמונה המלאה ואת האימפקט.

5. זיהוי כלי התקיפה: האקרים לרוב אינם כותבים את כל התוכנה מאפס אלא משתמשים בכלי זדוני ידוע, כמו RAT, ואם מגלים באיזה כלי השתמשו, סביר שאפשר לגלות גם איך עוצרים אותו, כי בטח לא אנחנו הראשונים שהותקפו בעזרתו.

6. תיעוד מסודר: צריך לתעד את הכל, כי יהיו מלא סימנים קטנים, כמו כתובת IP חשודה אליה יש תקשורת מתמדת גם כשהמשתמש לא נוגע במחשב, מה שמעיד על וירוס שמנסה להתחבר למרכז השליטה שלו.

7. hash value, ערבול חד כיווני: כדי לזהות קובץ בצורה חד משמעית לא מסתמכים על השם שלו, שכן שמות יכולים להשתנות ולהיות אקראיים, אלא על הערבול החד כיווני של התוכן, למשל MD5, שמייצר לקובץ חותמת אישית ייחודית.

8. ערבול בשמירת סיסמאות: אותו רעיון של ערבול חד כיווני משמש לשמירת סיסמאות בווינדוס ובלינוקס, הסיסמה נשמרת אחרי ערבול ולא בצורה גלויה, ובזמן התחברות עושים ערבול לסיסמה שהוקשה ומשווים מול הערבול השמור, וזה נעשה כדי שאקר ששולף את הדיסק לא יוכל לחזור מהערבול אל הסיסמה המקורית.

9. אורך קבוע וחתימת תוכן: לא משנה אם הקובץ ענק או קטן, התוצאה של הערבול היא תמיד באורך קבוע והיא מושפעת רק מהתוכן, כך שקובץ עם שם אחר אבל אותו תוכן יפיק את אותה חתימה, וזו הדרך לזהות וירוסים לפי התוכן.

10. כך עובדים אנטי וירוסים: העדכונים של האנטי וירוס הם בעצם עדכונים של hashים זדוניים, האנטי וירוס מחפש את החתימה הדיגיטלית של קובץ זדוני בין כל הקבצים במחשב, וכך אפשר לבדוק בכל המערכות מי נפגע מהווירוס או מהמלוור המדובר.

11. שפה לתיאור IOC: לאינדיקציות לחדירה יש שפה מיוחדת, OpenIOC או YARA, ובשפת YARA כותבים למערכות הניטור מה לחפש, כך שכשיוצא מלוור חדש מעדכנים את המערכות בחוקי YARA שיחפשו את האינדיקציות שלו.

12. חוקי YARA בפועל: מערכות ה-EDR והאנטי וירוס לוקחות את חוקי ה-YARA ומחפשות בכל המערכות את מה שביקשנו, אפשר לכתוב חוק בעצמנו בעזרת תוכנות עריכה, ואפשר גם להוריד חוקים מוכנים מצד שלישי, כמו חברות אנטי וירוס, חברות אבטחת מידע או גיטהאב, שכבר כתבו חוק שתופס פריצה ידועה.

13. סריקת כל הרשת: כשיש מאות מחשבים לא עוברים עליהם אחד אחד, בווינדוס אפשר להשתמש ב-WMI, תקן ישן של ניהול מרחוק, או בפאורשל המודרני שמאפשר להריץ פקודות על מחשבים מרוחקים, והוא הרבה יותר חזק ונוח מה-CMD הישן, ובעולם הלינוקס משתמשים בכלים כמו SSH.

14. הסכנה בסריקה עצמה: צריך להיות זהירים מאוד, כי אם האקר יושב על אחד המחשבים ברשת, הוא רואה את החיבור המרוחק שלנו ויכול לתפוס את הסיסמה של מנהל הרשת, משתמש עם הרשאות גבוהות, וזה הטריק החזק ביותר שלו.

15. Cache Credentials: כשמתחברים לווינדוס המקומי, הווינדוס זוכר בזיכרון את הערבול של הסיסמה שהוקשה, בשביל להשתמש בה בחיבורים לשרתים אחרים בלי להקיש שם וסיסמה בכל פעם, וזה נקרא קאש של קרדנצ'לס, והאקר ששולט על מחשב יכול לשלוף את זה מהזיכרון ולגנוב שם וסיסמה של אדמיניסטרטור.

16. ההדגמה בפועל: מדמים האקר שיושב על מחשב מסוים, ומנהל רשת שמתחבר ברימוט דסקטופ לבדוק את המחשב, והתוכנה של שולחן עבודה מרוחק מכניסה את שם המשתמש והסיסמה של האדמיניסטרטור לזיכרון של התחנה, שם התוקף ממתין להם.

17. כלים שלא שומרים סיסמה: יש כלים שלא עושים קאש לקרדנצ'לס, כמו WinRM שהוא ניהול ווינדוס מרחוק ולא שומר סיסמה בזיכרון של היעד, וגם נטוורק לוגון, בעוד שכלי כמו PSExec של מיקרוסופט לפעמים כן שומר סיסמה ולפעמים לא, תלוי איך משתמשים בו, וצריך להכיר את כל הדקויות האלה כי חשיפת סיסמת האדמיניסטרטור נותנת לתוקף את הכוח על כל הרשת.

18. התרעות שווא: בזמן סריקה מקבלים מלא אינדיקציות והתרעות, וחשוב לא ליצור false positives, התרעות שווא על מחשבים שלא נפגעו, כי הן מייצרות רעש רקע, מפזרות את הכוח והאמצעים וגורמות לבזבז תשומת לב על מערכות שבכלל לא נפגעו, ולכן צריך לדעת לסנן ולשים סדר עדיפויות נכון.

19. פורנזיקה ושימור ראיות: פורנזיקה היא עדויות בשטח לפרצה, וברגע שמוצאים IOC רוצים לאסוף כמה שיותר מידע ולשמר את המצב הקיים כדי שנוכל לנתח אותו ולגלות עוד סימנים מעידים.

20. שתי שיטות לאיסוף: שיטה אחת היא לכבות את המחשב ולהעתיק או לשמור בצד את הדיסק שלו, והשיטה השנייה היא לבצע את העבודה על מערכת פרוצה שעובדת בלייב, שהיתרון שלה הוא שיש לה את כל הדברים בזיכרון.

21. למה הזיכרון כל כך חשוב: הרבה פעולות זדוניות קורות רק בזיכרון הרם ובכלל אינן נשמרות בדיסק, ואם מכבים את המחשב הכל נמחק, כי זיכרון רם נמחק בכיבוי, ולכן יש מלוורים שלא שורדים ריסטארט, אם כי יש גם כאלה שנשמרים בדיסק ועולים מחדש אחריו.

22. התקפה שחיה בזיכרון ברשת: מלוור שחי רק בזיכרון מניח שתמיד יש ברשת מחשב אחד דלוק שלא מכבים בלילה, הוא מתחבא בו ומשגר את הרשת ותוקף כל מי שעונה לו, ונכנס לזיכרון של מחשבים נוספים.

23. המעבד מריץ רק מהזיכרון: כל תוכנה בווינדוס רצה רק מזיכרון הרם, כל דאבל קליק מעתיק את התוכנה מהדיסק לזיכרון ורק אז היא יכולה לרוץ, ומכאן גם הזמן שלוקח לתוכנה כבדה להיפתח, וזה בדיוק החלון שבו כל הפעילות הזדונית קורית בזיכרון.

24. ניתוח מלוור: אחרי שמצאים ומצלמים את המחשב הנגוע צריך לנתח מה המלוור עושה, מה נקרא הנדסה לאחור, לגלות לאן הוא מנסה להתחבר ובאיזה קבצים הוא נוגע, וזה תהליך שלוקח הכי הרבה זמן.

25. למזלנו המלוור מוכר: האקרים לרוב לוקחים וירוס קיים ומשתמשים בו, וסביר שמישהו כבר עשה את הניתוח לפנינו, ומציע פעולות לעצירה כמו סגירת כתובת IP בפיירוול, מחיקת קבצים בדיסק וחוקי YARA מוכנים לתפוס את התחנות הנגועות, ואת הניתוח של מלוורים חדשים באמת עושים המומחים.

26. Compromised System: מערכת שנפרצה יכולה להיות שרת או תחנת עבודה, ובתוכה יכול לשבת אקר בפועל או תוכנה שעובדת לבד בלי שהאקר נוגע בה, למשל תוכנה שגונבת קבצים, מצפינה אותם ודורשת כופר, וכך מתארים את המערכת שנפגעה בחקירה.

27. הגנות בווינדוס 11: בווינדוס 11 יש מלא הגנות נגד ההתקפה של שליפת סיסמה מהקאש של הווינדוס, ובנוסף חוקי IOC וחוקי YARA שמגדירים למערכות ההגנה מה לחפש.

28. מהבית מול הארגון: במחשב ביתי אפשר בקלות למחוק הכל ולהתקין מאפס ולהחזיר תמונות מגיבוי בענן, אבל בארגון שמקבל הזמנות כל יום ורצים בו מיליונים על בסיס נתוני לקוחות וחשבוניות, אי אפשר סתם למחוק הכל, ולכן החקירה המסודרת כל כך חשובה.

סיכום:

בשיעור זה הבנו שהחקירה מתחילה מאינדיקציה ראשונית לחדירה, IOC, שבעזרתה מגלים אילו מערכות נפגעו, לומדים מהן ומחפשים עוד סימנים כדי להשלים את התמונה הכוללת, הכרנו את הערבול החד כיווני כזיהוי חד משמעי של תוכן קבצים וכבסיס לעבודת האנטי וירוס, למדנו לכתוב ולהשתמש בחוקי YARA, והבנו את החשיבות של ניתוח גם בזיכרון וגם בדיסק, תוך היזהרות מהתרעות שווא ומחשיפה בטעות של סיסמאות מוגברות בזמן הסריקה.

בשיעור הבא נעסוק בנושא עצירת התקפה - SOC.

פרקי ההרצאה: אינדיקציה לחדירה - IOC

תמלול ההרצאה: אינדיקציה לחדירה - IOC

הטקסט המלא של הדקות הראשונות בהרצאה «אינדיקציה לחדירה - IOC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו נדבר על DETECTION, איתור של פריצה, איך אנחנו יודעים שיש לנו פריצה, וזה החלק השני, המעשי יותר, באיתור פרצות לתוך המערכת שלנו. ולמה זה חשוב כל כך?
00:16
כי אנחנו רוצים לוודא שהפריצה הזאת לא תחזור על עצמה. אז אנחנו חייבים לגלות איך הם נכנסו אלינו, איך הם חדרו, ועל מה זה השפיע. אז איך אנחנו מתחילים INVESTIGATION, את החקירה שלנו?
00:30
והדבר הכי חשוב בחקירה זה indicators of compromise, מה שנקרא IOC, סימנים לחדירה, אינדיקציות לחדירה. מה זה אינדיקציה לחדירה?
00:42
זה יכול להיות איזשהו קובץ שהמערכת הזדונית משאירה בארדיסק, זה יכול להיות איזשהו טראפיק לאיזושהי כתובת IP שיודעים ששם יושב CNC, שרת השליטה של האקרים.
00:55
אנחנו צריכים לגלות סימני חדירה בדרך הסימנים האלו, מחפש עוד מחשבים שנפגעו זאת אומרת אני מגלה איזשהו סימן לפריצה נניח קובץ בדיסק שהפורץ השאיר מאחוריו אז אני מחפש בכל המחשבים ברשת שלי איפה יש את הקובץ הזה איזה מחשבים נוספים נפגעו כי גיליתי את זה על מחשב אחד ואולי בזמן שישנתי הפורץ הצליח להשתלט על עוד עשרה
01:23
מחשבים שונים אז אני רוצה לגלות את כל מי שנפרץ ובשביל זה אני צריך אינדיקציות לחדירה ברגע שאני מזהה איזושהי אינדיקציה אני מחפש במחשבים האחרים לידים חדשים, אינדיקציות נוספות כי אני רוצה להבין את כל התמונה ועל מה זה השפיע על מה היה האימפקט אז אני אוסף מידע ומנתח אותו וככה זה נראה שיש לי סימן ראשוני נניח יוזר התלונן או איזושהי התרעה שקפצה לי במערכת סים אני לוקח
01:53
את האינדיקציה לחדירה מוצא איזה מערכות קומפרומיסט איזה מערכות נפרצו אוסף את המידע מהמערכות האלו ומחפש סימנים נוספים כדי לגלות עוד מערכות שנפגעו.
02:08
בארגון זה לא מחשב אחד או שרת אחד. בארגון יש מאות מערכות שעובדות במקביל. מערכת של קבצים, מערכת של משכורות, מערכת של איזשהו פרויקט, מערכת ניהול לקוחות, מערכת של חשבוניות, מערכת של הזמנות, מערכת של איזשהו מפעל של קו ייצור כלשהו.
02:29
יש הרבה מערכות, הרבה שרתים, לרוב הם גם מחולקים לתתי רשתות. אז זה שמשהו נפגע, זה לא אומר שהכל נפגע. אני צריך לקחת את הסימן המזהה של הפגיעה, של החדירה, ולבדוק בדיוק מי נפגע, לחקור את המערכות שנפגעו, לגלות עוד סימנים, ובעזרת הסימנים החדשים לחקור שוב את כל המערכות
02:50
בארגון שלי. אני צריך להבין את התמונה הכוללת. בארגון זה לא כזה פשוט לפרמט מחשב ולהתקין הכל מאפס. אז אני כל הזמן מחפש את ה-IOC, את האינדיקציות לחדירה, ומחפש לידים חדשים.
03:05
אני יכול גם לגלות איזשהו טול זדוני, איזשהו כלי זדוני, מלישס טול, כלי זדוני שהאקר ישתמש בו. כי לרוב האקרים לא כותבים את כל התוכנה מאפס, אלא לוקחים איזשהו כלי זדוני ידוע, איזשהו ראט, ומשתמשים בו. אז אם אני אגלה עם איזה כלי הם השתמשו,
03:23
סביר להניח שאני גם אגלה איך עוצרים אותו ומונעים אותו, כי בטח אני לא הראשון שתקפו אותי עם הכלי הזה.
03:31
אני צריך לגלות ולזהות את כלי התקיפה שלהם. אז IOC, שזה Indicator of Compromise, זה הסימן שלנו לכך שקרה אירוע כלשהו. ואני צריך לתעד אותם. אני צריך לתעד את הכל, כי הולכים להיות מלא סימנים קטנים.
03:49
זה יכול להיות כתובת IP שאני חושד ששם מסתתר שרת השליטה של האקרים, כי אני רואה הרבה תקשורת לשם בלי שום סיבה, בלי שהיוזר עושה משהו. זאת אומרת, יוזר לא נוגע במחשב וכל הזמן יש תקשורת לאיזשהו IP שלא אמורה להיות.
04:05
אז כנראה שזה איזשהו וירוס שמנסה להתחבר למרכז השליטה שלו. זה מבחינתי IOC, אינדיקציה לחדירה. זה יכול להיות קובץ ב-hard disk, איך אני מזהה קבצים בצורה חד-חד-ערכית, בצורה חד-משמעית, לא רק לפי השם שלו, שמות יכולים להשתנות ויכולים להיות גם אקראיים
04:25
אלא לפי hash value. hash value זה ערבול חד-כיווני שאני מכניס לשם את הקובץ ומקבל תוצאה של הערבול הזה כמו md5 והתוצאה הזאת היא ייחודית למידע הזה לתוכן הזה. זאת אומרת שאני בודק את הקובץ לא לפי השם אלא לפי התוכן שלו אבל כדי לא לבדוק את כל התוכן אני מייצר מעין חותמת אישית לקובץ זה נקרא hash ערבול חד-כיווני אולי אני אראה לכם אותו.
04:53
נעשה md5 calc, כלקולטור אונליין, אפשר גם בלי אונליין. אז יש לי פה איזשהו מחשבון md5, שזה נקרא hash, ערבול חד-כיווני. חוץ מ-md5 יש לי כל מיני ערבולים.
05:07
ככה, דרך אגב, נשמרת סיסמה ב-hard disk, ונניח אני יכול להכניס פה קובץ כלשהו, או שאני יכול להכניס איזושהי מילה. לדוגמה, בואו נכניס את הפסוורט של מיקרוסופט.
05:16
אז במקום לשמור קובץ שלם או סיסמה בצורה גלויה שומרים אותה אחרי הערבול שימו לב מה זה הערבול של פסוורד הזה זה הסטרינג הזה זה הערבול הזה תזכרו אותו כי אם אני מוסיף משהו קטן הערבול נהיה שונה לחלוטין שמתם לב שהוא השתנה לגמרי ככה נשמרות הסיסמאות לדוגמה בווינדוס ובלינוקס ואז כשיוזר מכניס שם בסיסמה הסיסמה
05:42
שהכנסת כרגע עוברת את הערבול הזה ומשווים אותה מול הערבול ששמור בתוך הhard disk של הווינדוס שלי אז הhash ששמור אצלי בווינדוס משווים אותו מול הhash של הסיסמה שהכנסת כרגע ואם שני הערבולים שווים אז כנראה שהכנסת סיסמה נכונה ואתה יכול לעשות לוגין לווינדוס למה ווינדוס רוצה לשמור
06:05
את הערבול החד-כיווני הזה, את הhash הזה, ולא את הסיסמה המקורית? כדי שהאקר לא יוכל לשלוף את הhard disk מהמחשב שלי או לעלות מ-USB, לגשת לקבצים של Windows כשה-Windows לא עובד ולגלות את הסיסמה של היוזר.
06:22
כי אם האקר שולף את הארדיס או ניגש אליו דרך-USB הוא יראה רק את הערבול הזה, ואם הוא רואה את הערבול הזה אין דרך מהערבול הזה לחזור חזרה לסיסמה, כי זה ערבול חד-כיווני. דרך אגב, Windows היום במקום MD5 שומר ערבול בטכנולוגיה של שעה.
06:40
אבל הרעיון הוא אותו רעיון. אני לוקח נניח שעה 256, עושה ערבול המספר הוא שונה התוצאה של הערבול היא שונה אבל הרעיון אותו רעיון שזה ערבול חד-כיווני חוץ מסיסמאות אני יכול גם להכניס פה קובץ שלם פנימה ועדיין התוצאה תהיה באורך קבוע הערבול הוא תמיד באורך קבוע וכך אפשר לזהות את הקבצים בלי לשמור את כל התוכן שלהם תחשבו שיש לי קובץ ענק אני מכניס את כולו לערבול הזה להאש הזה
07:08
מקבל תוצאה קצרה ואם יביאו לי קובץ עם שם אחר אבל עם אותו תוכן אני אכניס אותו לערבול הזה ואני אקבל את אותה תוצאה את אותו האש זאת אומרת לא משנה מה האורך של הקובץ ההאשים הם תמיד באורך קבוע והם מושפעים רק מהתוכן וכך מזהים וירוסים לפי התוכן הזה לפי החתימה האישית של הקובץ בקיצור האש value זה
07:33
כמו חתימה של קובץ חתימה אישית זה כמו זיהוי חד משמעי של תוכן של הקובץ אז אני יכול לקחת את הקובץ הזדוני להעביר אותו האש לגלות את ההאש שלו ולבדוק האם יש קבצים אחרים בווינדוסים אחרים שיש להם בדיוק את אותו האש.
07:50
אם אני מגלה עוד קובץ עם אותו האש, אני יודע שזה בדיוק אותו קובץ זדוני בלי קשר לשם שלו ובלי לבדוק את כל התווים בפנים. ככה עובדים האנטיווירוסים. העדכונים של האנטיווירוסים למעשה זה עדכונים של האשים זדוניים וזה מה שהאנטיווירוס מחפש.
08:06
לחפש את החתימה הדיגיטלית של קובץ זדוני, את ההאש של קובץ זדוני וכך לזהות אותו בין כל הקבצים במחשב. וכמובן שאפשר גם לפי שם קובץ, אבל בהרבה תוכנות זדוניות, בהרבה מיילווירים, השמות של קבצים הם סתם אקראיים, הוא סתם מייצר איזשהו קובץ אקראי, מפעיל אותו וממשיך הלאה.
08:26
ואני יכול לחפש בכל המערכת שלי למי יש את ההאשים האלו, וכך לדעת מי נפגע מהווירוס הזה או מהמיילוויר הזה.
08:35
ה-IOC, האינדיקטורים, האינדיקציות של פרצה הם כל כך כל כך חשובים, שאפילו עשו להם שפה מיוחדת איך לכתוב אותם. זה נקרא OpenIOC או YARA. למעשה, YARA הזאת זה ממש ממש שפה ידועה, וחוקי YARA, אתם תלמדו גם בהמשך הקורס.
08:56
למעשה, החוקים האלו של YARA, התקן הזה, השפה הזאת של YARA, בעזרתה אנחנו כותבים למערכות ניטור שלנו מה לחפש. נניח יוצא מחר איזשהו מיילוור חדש, אז אני מעדכן את המערכות שלי עם חוקי יארה חדשים שיחפשו את ה-IOC הזה.
09:14
אנחנו נראה בהמשך. אז-IOC זה סימני פרצה שמתארים אותם בשפת יארה או אופן-IOC, וכשאני מתאר בעזרת יארה את מה אני רוצה שהמערכת תחפש, ה-EDR שלי שכבר מותקן בתחנות עבודה או האנטיווירוס שלי יבדקו את כל המערכות
09:34
ויחפשו את האינדיקציות האלו. זה למעשה העדכונים שאנחנו מריצים למערכות אבטחה שלנו. הם מורידים את חוקי היארה ואנחנו גם לבד יכולים להוריד חוק או לכתוב חוק יארה שיתפוס איזה משהו חדש.
09:48
ויש כל מיני תוכנות עריכה שעוזרות לנו לכתוב את החוקים האלו, את חוקי היארה. אנחנו בהמשך הקורס ממש נראה את זה. יותר מזה, אנחנו יכולים גם להוריד את חוקי יארה כבר מוכנים מכל מיני third parties, מצד שלישי. מה זה צד שלישי? חברת אנטיווירוס, חברת אבטחת מידע כלשהי, גיט-האב כלשהו, זאת אומרת שמישהו אחר כבר כתב
10:11
חוק שתופס איזושהי פריצה ידועה. עכשיו השאלה, איך אני סורק את כל הרשת שלי? תחשבו שיש לי מאות מחשבים או אלפי תחנות עבודה, איך אני בודק? אני לא עובר אחד-אחד, אני יכול להשתמש ב-WMI.
10:26
WMI זה תקן שיצא לפני למעלה מ-25 שנה של ניהול Windows מרחוק. WMI הזה הוא קצת מסובך. מה שיותר פשוט זה הפאור של החדש, והפאור של החדש יודע להריץ פקודות על מחשבים מרוחקים בווינדוס.
10:44
זו השורת פקודה הזאת, המסך השחור הזה, היום זה מסך כחול, שמריץ פקודות. היה פעם CMD, הדוס הישן, והיום יש את הפאור של החדש, שהוא הרבה יותר טוב, הרבה יותר חזק והרבה יותר נוח מאשר ה-CMD הישן, אבל הם נראים די דומה, הם נראים כמו פקודות שמקלידים, והפקודות האלו שאנחנו מקלידים אפשר להריץ לא רק על המחשב המקומי
11:07
אלא גם על מחשב מרוחק. אני מדבר איתכם על Windows. בעולם של לינוקס משתמשים בכלים אחרים כמו SSH. וצריך להיות מאוד מאוד זהירים שהאקר לא יתפוס לנו את הסיסמה של אדמיניסטרטור של פריבילג'ד יוזר, יוזר עם הרשאות גבוהות כי כשאנחנו רוצים להריץ סריקה על כל המחשבים והאקר יושב על אחד המחשבים הוא יראה את החיבור שלנו מרחוק
11:32
ויתפוס לנו את הסיסמה של אדמיניסטרטור. זה הטריק הכי חזק של האקר. האקר משתלט על איזשהו מחשב, נהיה אדמיניסטרטור על מחשב אחד ברשת, והוא לא יכול לעבור למחשבים אחרים ברשת, כי הסיסמה שלו או הכוח שלו תופס רק על מחשב אחד, ואז הוא מחכה שהאדמיניסטרטור של כל הרשת יעשה איזושהי בדיקה או יתחבר,
11:53
ולאדמיניסטרטור יש highly privileged user, כאילו הרשאות גבוהות, user עם הרשאות גבוהות, והוא יתפוס אותו בחיבור הזה ויגנוב לו את הסיסמה.
12:03
בזמן ה-Connection ל-Compromised System, למערכת שנפרצה. Compromise זה משהו שנפרץ. אז הטריק הזה של האקרים לתפוס סיסמאות מתוך קאש, מה זה קאש?
12:15
הזיכרון של הווינדוס שלי. זאת אומרת, כשאני מתחבר לווינדוס המקומי שלי, מכניס שם וסיסמה או עושה לוגין, ווינדוס מאחורי הקלעים זוכר את הסיסמה שהקלדתי.
12:25
האמת שהוא זוכר את ה"ה" של הסיסמה, הערבון של הסיסמה בזיכרון שלו הוא זוכר את זה בשביל להשתמש בה בחיבורים למקומות אחרים לשרתים אחרים לדוגמה כשהיוזר עושה לוגין בבוקר אחרי זה הוא רוצה להתחבר ולקחת קובץ מאיזשהו שרת ברשת הוא לא צריך להקיש כל פעם שם וסיסמה מחדש למה כי הווינדוס המקומי זוכר את הסיסמה שהוא הקיש בבוקר בזיכרון שלו זה נקרא קאש
12:52
של קרדנצ'לס קאש של שם וסיסמה אז כשמנהל רשת מתחבר מרחוק לאיזשהו Windows, יכול להיות שה-Windows שמה יזכור את שם והסיסמה של מנהל הרשת, זה נקרא Cache Credentials, Credentials זה שם וסיסמה, הוא יכניס אותם ל-Cache, והאקר ששולט על מחשב יוכל לשלוף את זה מתוך