Пентесты 2021–2022 годов показали неутешительную картину: 96% компаний не способны защититься от проникновения в локальную сеть, а в 8 из 10 организаций хватило бы навыков даже у низкоквалифицированного злоумышленника. Каждое пятое из проверенных предприятий относилось к промышленности — и там цена ошибки измеряется не кассовой выручкой, а экологией и жизнями. Остановка турбины АЭС — это экологическая катастрофа, авария на металлургическом комбинате — почти всегда человеческие жертвы. А что будет, если атаковать аэропорт?
Ответ мы получили на практике. На кибербитве Standoff команда красных вскрыла SCADA-систему аэропорта виртуального Государства F и добралась до управления телетрапом — той самой гидравлической «рукой», что подаёт трап к самолёту. Разбираем атаку по шагам и параллельно смотрим, какими методами ML-защита могла бы поймать каждый этап.
Шаг 1. Социальная инженерия: дверь открывает человек
Любая атака начинается с преодоления периметра: эксплуатация уязвимости, утечка учётных данных или социальная инженерия. В кейсе с аэропортом красные выбрали третье — отправили фишинговое письмо с вредоносным вложением в HR-отдел. Сотрудник открыл файл, и атакующие получили доступ к его узлу, продолжив работу так, будто сидят за его офисным компьютером.
Что делать. По данным за II квартал 2023 года, социальную инженерию применяли в 37% атак на организации и в 90% атак на частных лиц. Сотрудник не стал бы жертвой, знай он, как выглядят фишинговые письма, зачем их шлют и что произойдёт после открытия вложения от неизвестного адресата.
Для раннего перехвата таких атак существует модуль поведенческой аналитики. Он использует ансамбль ML-моделей и статистических подходов, чтобы построить ожидаемый набор действий для каждого пользователя. Любое отклонение от нормы начисляет «очки риска»: высокий балл — сигнал, что за учёткой сидит чужой.
placeholder
Модуль не рубит сплеча: вместо принудительного разбора каждой аномалии оператором он накапливает данные в отдельный профиль сотрудника и на основе экспертных правил и ML выносит вердикт — легитимны действия или на той стороне злоумышленник.
Разберём одну из моделей — анализ цепочки запускаемых процессов, помогающую выявлять фишинг. Вы открываете Outlook, кликаете по вложению — стартует winword.exe. Читаете документ, а он в фоне поднимает cmd.exe и whoami.exe. Модуль сочтёт это подозрительным: именно так киберпреступники проверяют свои права в системе.
ML-алгоритм видит цепочку процессов переменной длины. Для эффективности её разбивают на пары: A–E, B–E, C–E, D–E — и строят матрицу взаимодействий, где каждая ячейка соответствует паре. Как именно модуль фиксирует аномалии, разбирается отдельная статья команды.
Анализ цепочек — не панацея, но в этом кейсе он позволяет, помимо прочего, заметить нетипичные подключения процессов к внутренним ресурсам компании.
Шаг 2. Загрузка агента C2-сервера: шифр не спасает
Сотрудник кликнул по письму, открыл файл — и узел подключился к управляющему серверу, откуда красные отправляют команды. Коммуникация идёт по зашифрованному каналу, поэтому сигнатурные детекты здесь бессильны.
Что делать. Выручает система поведенческого анализа сетевого трафика (NTA). Анализируя шифрованный поток, можно определить, вредоносна ли сессия. Нас интересует не содержимое обмена, а его статистика: длина переданных и принятых пакетов, объём, ритм. Этих признаков достаточно, чтобы свести задачу к бинарной классификации.
Задача упрощается, а для наглядности — гистограммы: голубой цвет означает подозрительные признаки, жёлтый — легитимные.
Второй способ поиска зловредов в шифрованном трафике — песочница. Это класс продуктов, эмулирующих ОС и проверяющих каждый файл на вредоносную нагрузку. Песочницы проводят статический и динамический анализ, причём динамический — частично силами ML.
Каждый запущенный процесс оставляет последовательность системных вызовов — трассу взаимодействия с ОС.
Заранее проанализировав множество вредоносных и чистых трасс, можно выделить характерные для зловредов последовательности. Тысячи вызовов сводятся к конечному вектору признаков, понятному ML-модели, которая классифицирует поведение как «плохое» или «хорошее».
Шаг 3. Повышение привилегий: подмена бинарника
Получив возможность исполнять код внутри периметра, атакующий закрепляется и повышает привилегии — от эксплуатации уязвимостей ядра до ошибок конфигурации. На Standoff красные использовали подмену исполняемого файла сервиса: заменили zabbix_agent.exe на вредоносное ПО и подняли привилегии до максимума. После этого на захваченном узле можно было делать что угодно.
Что делать. С точки зрения защиты цепочка процессов, в отличие от метаинформации Zabbix-агента, не изменилась. Зато появился другой тревожный признак: агент начал подключаться одновременно во внутреннюю и внешнюю сеть — характерный симптом туннелирования команд на скомпрометированный узел. Все эти действия фиксируются модулем поведенческой аналитики, о котором шла речь на втором шаге.
Шаг 4. Активная разведка: бухгалтер и Visual Studio Code
Красные начали масштабную разведку: изучали права пользователей, искали привилегированные учётные данные, знакомились с внутренними сервисами — чтобы добраться до конечной цели, телетрапа.
Что делать. Снова помогает модуль поведенческой аналитики, а именно модель рекомендательной системы. Вы наверняка встречали такие в ритейле — они советуют товары, музыку и кино. Здесь же система рекомендует процессы в зависимости от функциональных групп пользователей.
Представьте: разработчик ежедневно работает с одними и теми же программами. Выходит новая IDE, и он решает её протестировать. Будет ли запуск незнакомой программы аномалией? В классических системах защиты — да, новый процесс сразу классифицировался бы как потенциальный инцидент для оператора SOC. Но мы заранее знаем, какие инструменты может использовать разработчик, — повода для паники нет.
А если перенести ситуацию на сотрудника, не связанного с программированием? Согласитесь, не каждый день бухгалтер ставит Visual Studio Code. Для группы пользователей с одинаковыми функциями — бухгалтеров, финансовых аналитиков, маркетологов — запуск такой программы нетипичен, и рекомендательная система оповестит безопасника: что-то идёт не так.
В нашем кейсе модуль также заметит аномалии захваченных учётных записей, запускающих несвойственные им программы и действующих в неожиданных сегментах системы.
Шаг 5. Получение учётных данных: событие 5145
Главной находкой red team стал узел, в памяти которого хранились учётные данные администратора аэропорта. Прав хватило, чтобы извлечь их дистанционно, не заходя на сам узел. Инструменты из набора Impacket для этого постоянно используются реальными киберпреступниками.
Что делать. Обнаружить такое поведение позволяет модель, сигнализирующая об аномалиях в событиях Windows: для них зарезервировано событие с идентификатором 5145. При построении ML-модели есть два подхода:
· На основе разнообразия: собираются факты посещения пользователями сетевой папки. Появление нового уникального юзера в нетипичном месте оценивается по тому, насколько часто подобные события вообще происходят.
· На основе вероятности: анализируется, сколько раз конкретный пользователь заходил в определённые подразделы сетевой папки.
Шаг 6. Эксплуатация уязвимости iTop: ворота в сердце инфраструктуры
Захватив узел и получив доступ к привилегированной учётной записи домена, атакующие перешли из пользовательского сегмента в серверный. «Воротами» стал сервис заявок в IT-службу iTop: сотрудники аэропорта в Государстве F использовали необновлённую версию с известной уязвимостью. Красные легко её проэксплуатировали и проникли к серверам с широким доступом к сетевым ресурсам. Например, с сервера Remote Desktop Gateway (RDG) можно подключиться по RDP почти к любой рабочей станции.
Что делать. Применяются статистические модели со «склейкой событий» — объединением нескольких зафиксированных фактов. Одни события говорят, был ли в сети условный процесс A. Склеив их с событием входа 4624, можно понять, как процесс A повлиял на процесс B в рамках одного узла. Статистика по таким склейкам и выявляет аномалию.
Шаг 7. Перемещение внутри периметра: финал у телетрапа
Используя данные администратора, широкий сетевой доступ с сервера RDG и абсолютно легитимные инструменты ОС, красные переместились на компьютер оператора АСУ ТП и получили возможность управлять телетрапом аэропорта Государства F.
Что делать. На протяжении всей атаки подозрительные действия фиксируются системой, порождая массу событий безопасности. Модуль поведенческой аналитики присваивает очки риска каждому подозрительному процессу и выводит ранжированный список — это ускоряет реакцию на инцидент и снижает нагрузку на операторов SOC.
Что в итоге
Операторам АСУ ТП обычно доступно управление разными системами, включая телетрапы. На их узлах хранятся сохранённые подключения, часто с учётными данными — за ними и охотятся злоумышленники. Немного локальной разведки, и киберпреступник забирается так глубоко, что последствия могут стать фатальными. К счастью, наша история разворачивалась в виртуальном Государстве F на кибербитве Standoff: ни один реальный аэропорт не пострадал, пассажиры успели на рейсы, а специалистам по ИБ не пришлось отвечать за проникновение чёрных хакеров в инфраструктуру.