Методологии Red Teaming, сосредоточенные на операционной безопасности и скрытности.

Мы в процессе разработки команды Red Teaming, которую хотим предложить в качестве услуги, и одной из самых больших проблем, с которой мы сталкиваемся, является поддержание хорошей оперативной безопасности и скрытности во время выполнения заданий.

Поскольку большая часть опыта нашей команды связана с тестированием на проникновение, где можно использовать громкие инструменты и сканирования, не беспокоясь о выявлении, мы ищем методологии, которые были бы сосредоточены на скрытности во время выполнения заданий.

У нас есть несколько методологий, разработанных на протяжении многих лет о том, как подойти к внутренней инфраструктуре или тестированию веб-приложений, которые действительно упрощают процесс тестирования, поскольку вы знаете, как начать и что не забыть. Но для скрытных заданий Red Teaming, где главная цель – избежать обнаружения, мы даже не знаем, с чего начать – особенно учитывая все более продвинутый характер инструментов обнаружения, с которыми мы сталкиваемся.

Большинство методологий или ресурсов, которые я нашел до сих пор, или слишком общие, или не выдерживают проверку EDR, что приводит меня к этому вопросу.

Существуют ли методологии Red Teaming, которые предоставили бы нам отправную точку и познакомили бы нас с мышлением, необходимым для успешного скрытного задания Red Teaming? Что-то похожее на руководство по тестированию веб-приложений от OWASP – которое дает вам список вещей, на которые стоит обратить внимание, или набор инструментов, которые вам нужны.

Например, если мы возьмем фазу разведки – в традиционном объявленном тесте на проникновение вы можете просто использовать nmap для сканирования всей сети, запустить Nessus, и у вас будет довольно хорошая отправная точка. Но для Red Teaming вы не можете этого сделать. Я ищу методологию, которая расскажет, как начать проводить скрытую разведку, какие настройки стоит учитывать в скрытом сканировании nmap или какие другие конкретные техники или инструменты использовать для начала разведки, а также некоторые другие рекомендации для обеспечения успеха, т.е. иметь лабораторию с EDR и сначала попробовать каждое действие там или консультироваться по каждому действию с вашим SoC.

Существуют ли такие ресурсы, или мы почти что одни и должны разгадать это сами?

Раз вы упоминаете nmap и это часто является основным инструментом разведки: хотя он по своей природе шумный, есть много опций, которые вы можете использовать, чтобы быть более скрытным.

Будьте терпеливыми. Наверное, это единственная обобщенная рекомендация, которую можно здесь сделать. Не сканируйте несколько хостов одновременно. Это явный признак. Распределите свои сканирования во времени. См. Время и производительность.

Одна полезная опция среди множества других: -sS, чтобы выполнить SYN-сканирование. Это обычно достаточно для рутинной разведывательной работы. Хотя эта опция одна может не избежать обнаружения, её можно (и нужно) комбинировать с другими техниками.

Документация nmap содержит целую главу по этой теме: Глава 10. Обнаружение и подрыв межсетевых экранов и систем обнаружения вторжений (обратите внимание, что в книге, как правило, больше содержания, чем на официальном сайте, так что я определенно рекомендую купить книгу).

Затем измените вашу подпись, чтобы трафик не выделялся. Пример: используйте дополнение данных – см. Обход межсетевых экранов/IDS и подделка для предложений. Идея состоит в том, чтобы сделать ваши полезные нагрузки отличающимися от известных паттернов обследования, чтобы межсетевые экраны или IDS не блокировали их.

Я также рекомендую попрактиковаться в Wireshark, чтобы захватывать и анализировать некоторый ваш трафик. Начните с захвата пакетов, относящихся к использованию nmap, чтобы выяснить, как выглядят текущие кадры. Затем используйте некоторые из предложенных выше опций, чтобы изменить их, чтобы они начали выглядеть менее подозрительно.

Вам нужно будет быть более сосредоточенными в ваших атаках. Сосредоточьтесь на определенных портах, где вы думаете, что есть потенциал для эксплуатации. Например, начните с HTTP(s) конечных точек, затем расширяйте сеть по мере необходимости.

Чтобы избежать сканирования всего диапазона сети, вы можете попытаться заранее составить список хостов, используя доступные данные DNS, обратный DNS или другие источники, такие как журналы прозрачности сертификатов, где это применимо.

Nmap – это отличный инструмент, но это не единственный доступный сканер портов. На самом деле, вы даже можете использовать Scapy, чтобы создать свой собственный, с преимуществом, что у вас будет почти полный контроль над сетевыми кадрами, которые будут выходить из вашего компьютера.

Создайте лабораторию, установите Surricata или другой IDS, такой как Snort, и узнайте, какое поведение вызывает предупреждение, используя настройки по умолчанию. Это будет хорошим началом.

Если вы можете получить информацию о том, что использует клиент/цель (программное и аппаратное обеспечение), то получите соответствующую документацию, чтобы понять, как они работают из коробки.

Вот одна статья, которая обсуждает обнаружение сканирований nmap с помощью Snort: Как обнаружить сканирование NMAP с помощью Snort. Вы должны быть в состоянии найти подобную информацию о других типах IDS, в противном случае изучите набор правил по умолчанию, и вы сможете найти способы их обхода. Опять же, документация nmap более детализированно описывает техники и обсуждает, как обойти обнаружение Snort: Подрыв систем обнаружения вторжений (содержимое устарело, но концепции остаются действительными).