10 señales principales de que su sistema se ha visto comprometido
Las amenazas persistentes avanzadas (APT) se basan en nuestra incapacidad para detectar, alertar y responder a cualquier indicador que pueda sugerir que nuestro sistema ha sido comprometido. Dichos indicadores incluyen; actividad inusual de la cuenta, patrones de tráfico, cambios en el registro y actividad anómala de archivos y carpetas. A continuación se muestran las 10 formas principales de saber si su sistema se ha visto comprometido.
Si un atacante obtiene acceso a una cuenta de usuario en su red, a menudo intentará elevar los privilegios de la cuenta o utilizarla para obtener acceso a una cuenta diferente con privilegios más altos. Necesitamos estar atentos a cosas como el uso de la cuenta fuera del horario laboral, el volumen de datos a los que se accede y poder determinar si la actividad de la cuenta no es habitual para ese usuario en particular.
Solemos centrarnos mucho en el tráfico que entra en nuestra red, y no tanto en el tráfico que sale. Sin embargo, los piratas informáticos suelen utilizar servidores de comando y control para permitir la persistencia de las amenazas. Este tipo de actividad en la red suele ser más fácil de detectar que la mayoría de los ataques entrantes, precisamente porque son persistentes. Necesitamos poder detectar cualquier patrón inusual de tráfico de red saliente.
Si un usuario no logra iniciar sesión repetidamente en una cuenta, o simplemente no logra iniciar sesión en una cuenta que ya no existe, es una señal clara de que alguien, o algo, no está tramando nada bueno. Estos tipos de errores de inicio de sesión se registrarán en los registros del servidor. Sin embargo, no queremos esperar hasta que los piratas informáticos hayan logrado ingresar a la red. En lugar de ello, necesitaremos automatizar una respuesta basada en una condición umbral. Por ejemplo, si se registran X intentos fallidos de inicio de sesión durante Y tiempo, necesitaremos ejecutar un script personalizado que puede apagar el servidor, cambiar la configuración del firewall, deshabilitar una cuenta de usuario o detener un proceso específico.
Según un informe publicado por F-Secure, la mayoría de los ciberataques provienen de “Rusia, Países Bajos, Estados Unidos, China y Alemania”. Por supuesto, en teoría los ciberataques pueden originarse desde cualquier lugar, pero puede resultar útil tener en cuenta esta información y estar atento a los países de dónde proviene el tráfico entrante de nuestra red y hacia dónde se dirige el tráfico saliente de nuestra red. Además, si un usuario inicia sesión desde una dirección IP en un país y luego inicia sesión desde una dirección IP en un país diferente dentro de un período de tiempo relativamente corto, esto puede indicar que se ha producido o se está produciendo un ataque cibernético. lugar.
Si un atacante intenta realizar un ataque de inyección SQL (en el que se inyecta código malicioso en un formulario web para obtener acceso a la base de datos subyacente), el tamaño de la respuesta HTML probablemente será mayor que el de una respuesta HTML normal. Por ejemplo, el atacante puede intentar descargar una base de datos que contenga datos de tarjetas de crédito, que podrían tener un tamaño de decenas de gigabytes. Cualquier cosa de este tamaño se consideraría muy inusual para una respuesta de formulario web estándar. La inyección SQL es sólo una de las muchas formas en que los piratas informáticos pueden obtener acceso a su base de datos.
También pueden buscar parches faltantes de SQL Server, debilidades de configuración, instancias de bases de datos ocultas o buscar servidores SQL que no estén protegidos por un firewall. Alternativamente, pueden intentar descifrar la contraseña del administrador del sistema (SA) (suponiendo que se haya configurado una). Si, por cualquier motivo, un atacante obtiene acceso a su base de datos, probablemente intentará descargar grandes cantidades de datos confidenciales en un corto período de tiempo. Entonces, además de monitorear los tamaños de las respuestas HTML, también debemos monitorear de cerca cualquier pico en la actividad de la base de datos, ya que eso podría ser un indicador claro de que su base de datos se ha visto comprometida.
Los ataques DDoS se utilizan a menudo como cortina de humo para permitir a los piratas informáticos iniciar otras formas de ataque más sofisticadas. Los ataques DDoS son fáciles de detectar, ya que normalmente provocan un rendimiento deficiente del sistema, como una red lenta, sitios web no disponibles y cualquier otro sistema que funcione a su máxima capacidad.
Una de las formas en que las APT pueden establecer persistencia y permanecer encubiertas es realizando cambios en el registro del sistema. Por lo tanto, debemos asegurarnos de saber cómo se supone que debe verse el registro y, si el registro se desvía de su estado típico, debemos ser informados en tiempo real para minimizar el daño potencial causado por el ataque.
Los piratas informáticos suelen utilizar números de puerto oscuros para eludir los cortafuegos y otras técnicas de filtrado web. Debemos mantener un registro de qué puertos se utilizan y con qué finalidad. Si se utiliza un puerto que no está en nuestra lista blanca, debemos ser informados de inmediato y poder automatizar una respuesta en consecuencia.
Como se mencionó, los piratas informáticos suelen utilizar servidores de comando y control para establecer un canal de comunicación entre el sistema comprometido y su propio servidor. Sin embargo, existen otras solicitudes de DNS sospechosas a las que podemos prestar atención. Por ejemplo, algunas variedades de malware de fraude de clics abren una gran cantidad de ventanas del navegador al mismo tiempo. Es claramente antinatural que un usuario abra tantas ventanas del navegador en una sesión, y hacerlo creará una breve ráfaga de tráfico web. Realizar un seguimiento de cualquier actividad DNS sospechosa, como un aumento en las solicitudes de DNS, nos ayudará a identificar actividades potencialmente maliciosas.
Dicha actividad puede incluir la creación, modificación o eliminación de archivos o carpetas sospechosas. Puede incluir solicitudes excesivas de un solo archivo. Los piratas informáticos suelen intentar varios exploits diferentes antes de poder acceder con éxito al sistema y, por lo general, es bastante fácil para nosotros observarlo, suponiendo que sepamos dónde buscar. Por ejemplo, si ve que una sola dirección IP ha accedido a login.php miles de veces, es muy probable que esté bajo ataque.
Es posible que observemos grandes cantidades de datos en el lugar equivocado o archivos cifrados de forma masiva. Hay muchas maneras diferentes de saber si nuestro sistema está o está siendo comprometido, pero a menos que seamos capaces de detectar, alertar y responder a estos indicadores en tiempo real, nuestra capacidad para detener un ciberataque en seco será muy limitado. Es imperativo que aprovechemos las últimas soluciones de auditoría de archivos para asegurarnos de saber exactamente quién tiene acceso a qué datos, dónde residen nuestros datos y cuándo se accede a ellos.