വലിയ ഡാറ്റാസെന്ററുകളിലും മാനേജ്ഡ് സേവന ദാതാക്കളിലും, പ്രത്യേകിച്ച് ഹോസ്റ്റിംഗ് ഇൻഫ്രാസ്ട്രക്ചറിൽ ഏറ്റവും വ്യാപകമായി വിന്യസിച്ചിരിക്കുന്ന എൻഡ്‌പോയിന്റ് ഡിറ്റക്ഷൻ ആൻഡ് റെസ്‌പോൺസ് (EDR) ഉപകരണങ്ങളിൽ ഒന്നാണ് ക്രൗഡ്‌സ്ട്രൈക്ക് ഫാൽക്കൺ. ഫാൽക്കൺഫ്ലാങ്ക് എന്ന് വിളിക്കപ്പെടുന്ന പുതുതായി വെളിപ്പെടുത്തിയ പ്രിവിലേജ് എസ്കലേഷൻ പിഴവ്, എൻഡ്‌പോയിന്റ് പരിരക്ഷണ പരിഹാരങ്ങൾ അവയുടെ സ്വന്തം പരിഹാര സംവിധാനങ്ങളെ എത്രത്തോളം സാധൂകരിക്കുന്നു എന്നതിനെക്കുറിച്ചുള്ള ചോദ്യങ്ങൾ ഉയർത്തുന്നു.
ഫാൽക്കൺഫ്ലാങ്ക് മെക്കാനിസം
Chaotic Eclipse എന്ന ഗവേഷകന്റെ അഭിപ്രായത്തിൽ, CrowdStrike Falcon-ന്റെ Office macro remediation logic ദുരുപയോഗം ചെയ്യുന്ന ഒരു സീറോ-ഡേ ആണ് FalconFlank. പ്രധാന പ്രശ്നം ഒരു ക്ലാസിക്കൽ ബഫർ ഓവർഫ്ലോയോ മെമ്മറി കറപ്ഷനോ അല്ല; പകരം, Falcon Sensor ക്ഷുദ്രകരമായ ഓഫീസ് ഡോക്യുമെന്റുകളെ എങ്ങനെ നിർവീര്യമാക്കാൻ ശ്രമിക്കുന്നു എന്നതാണ്. Falcon-ന്റെ remediation handler-നെ ട്രിഗർ ചെയ്യുന്ന ഒരു മാക്രോ ശ്രദ്ധാപൂർവ്വം തയ്യാറാക്കുന്നതിലൂടെ, ഉപയോക്തൃ-തല ആക്‌സസ് ഉള്ള ഒരു ആക്രമണകാരിക്ക് ആ സാൻഡ്‌ബോക്‌സിൽ നിന്ന് രക്ഷപ്പെടാനും സിസ്റ്റം പ്രിവിലേജുകളിലേക്ക് എത്താനും കഴിയും.
ഈ രീതി EDR ഗവേഷകർക്ക് പരിചിതമാണ്: സുരക്ഷാ ഉപകരണങ്ങൾ ഭീഷണികളെ തടയുകയും നിർവീര്യമാക്കുകയും വേണം, എന്നാൽ ഉപയോക്തൃ ഇൻപുട്ടിനെ വളരെയധികം വിശ്വസിക്കുകയോ സ്വന്തം നിർവ്വഹണ സന്ദർഭത്തെ ശരിയായി ഒറ്റപ്പെടുത്തുന്നതിൽ പരാജയപ്പെടുകയോ ചെയ്താൽ ആ ഇന്റർസെപ്ഷൻ പാളി തന്നെ ഒരു ആക്രമണ പ്രതലമായി മാറുന്നു. ഫാൽക്കണിലെ മാക്രോ റെമഡിയേഷൻ എഞ്ചിൻ ആ ഐസൊലേഷൻ അതിർത്തി തകരാൻ അനുവദിച്ചതായി തോന്നുന്നു.
ഇൻഫ്രാസ്ട്രക്ചർ ടീമുകൾക്ക് ഇത് എന്തുകൊണ്ട് പ്രധാനമാണ്
എൻഡ്‌പോയിന്റ് പരിരക്ഷയിലെ പ്രിവിലേജ് എസ്കലേഷൻ പിഴവുകൾ മൾട്ടി-ടെനന്റ് ഹോസ്റ്റിംഗ് പരിതസ്ഥിതികളിലും പങ്കിട്ട ഇൻഫ്രാസ്ട്രക്ചറുകളിലും പ്രത്യേകിച്ച് അപകടകരമാണ്. ഒരു ആക്രമണകാരി ഉപയോക്തൃ-തല ഷെൽ ആക്‌സസ് നേടിക്കഴിഞ്ഞാൽ - ഒരു വിട്ടുവീഴ്ച ചെയ്യാത്ത വെബ് ആപ്ലിക്കേഷൻ, ഒരു സപ്ലൈ ചെയിൻ സംഭവം അല്ലെങ്കിൽ സോഷ്യൽ എഞ്ചിനീയറിംഗ് എന്നിവയിലൂടെ - ഹോസ്റ്റ് കേർണൽ, ഹൈപ്പർവൈസർ അല്ലെങ്കിൽ അയൽ വാടകക്കാർ എന്നിവയിലേക്ക് കടന്ന് ആക്‌സസ് ചെയ്യാൻ അവർക്ക് സാധാരണയായി രണ്ടാമത്തെ എക്‌സ്‌പ്ലോയിറ്റ് ആവശ്യമാണ്.
ഫാൽക്കൺ പ്രവർത്തനരഹിതമാക്കുകയോ ഫാൽക്കൺഫ്ലാങ്ക് വഴി ബൈപാസ് ചെയ്യുകയോ ചെയ്താൽ, പ്രതിരോധത്തിന്റെ രണ്ടാമത്തെ പാളി അപ്രത്യക്ഷമാകും. നൂറുകണക്കിന് ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറുകളോ വെർച്വൽ മെഷീനുകളോ ഉള്ള ഒരു ഡാറ്റാ സെന്ററിൽ, ഒരു വിട്ടുവീഴ്ച ചെയ്യാത്ത സംഭവം ലാറ്ററൽ മൂവ്‌മെന്റിനുള്ള ഒരു സ്പ്രിംഗ്‌ബോർഡായി മാറിയേക്കാം. കംപ്ലയൻസ് ഓഡിറ്റുകൾക്കോ (PCI-DSS, SOC 2) ഉപഭോക്തൃ ഉറപ്പിനോ വേണ്ടി, തങ്ങളുടെ സുരക്ഷാ സ്റ്റാക്കിന്റെ ഒരു പ്രധാന ഘടകമായി ഫാൽക്കണിനെ ആശ്രയിക്കുന്ന ദാതാക്കൾക്ക് ഇത് വളരെ നിർണായകമാണ്.
ഹോസ്റ്റിംഗ് ഓപ്പറേറ്റർമാർ ശ്രദ്ധിക്കേണ്ടത് ഫാൽക്കൺഫ്ലാങ്ക് പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ് പരസ്യമായി പുറത്തിറക്കി.അതായത്, ചൂഷണം ഇനി സൈദ്ധാന്തികമല്ല.
കണ്ടെത്തലും ലഘൂകരണ തന്ത്രവും
ആദ്യം, നിങ്ങളുടെ ഇൻഫ്രാസ്ട്രക്ചർ CrowdStrike Falcon പ്രവർത്തിപ്പിക്കുന്നുണ്ടോ എന്നും, അങ്ങനെയെങ്കിൽ ഏത് പതിപ്പാണെന്നും സ്ഥിരീകരിക്കുക. CrowdStrike സാധാരണയായി റാപ്പിഡ് പാച്ചുകൾ ഉപയോഗിച്ച് സീറോ-ഡേകളെ അഭിസംബോധന ചെയ്യുന്നു, അതിനാൽ ഫാൽക്കണിന്റെ സെൻസർ പതിപ്പ് പരിശോധിച്ച് അപ്‌ഡേറ്റുകൾ ഉടനടി പ്രയോഗിക്കുക എന്നതാണ് അടിസ്ഥാന പ്രതികരണം.
രണ്ടാമതായി, നിങ്ങളുടെ പരിതസ്ഥിതിയിലുടനീളം മാക്രോ എക്സിക്യൂഷൻ നയങ്ങൾ അവലോകനം ചെയ്യുക. പല ഡാറ്റാസെന്ററുകളും ഓഫീസ് മാക്രോ എക്സിക്യൂഷൻ പൂർണ്ണമായും പ്രവർത്തനരഹിതമാക്കുകയോ ഡിജിറ്റൽ ഒപ്പിട്ട പ്രമാണങ്ങളിലേക്ക് പരിമിതപ്പെടുത്തുകയോ ചെയ്യുന്നു - ഫാൽക്കൺഫ്ലാങ്കിനായി ആക്രമണ ഉപരിതലം ചുരുക്കുന്ന ഒരു രീതി കൂടിയാണിത്. മാക്രോ റെമഡിയേഷൻ പ്രവർത്തനരഹിതമാക്കുകയോ നിശബ്ദമായി പരാജയപ്പെടുകയോ ചെയ്താൽ, ആ വെക്റ്ററിൽ ഫാൽക്കണിന്റെ ഫലപ്രാപ്തി ഇതിനകം തന്നെ അപകടത്തിലാണ്.
മൂന്നാമതായി, നിങ്ങളുടെ EDR ലോഗുകളിൽ അസാധാരണമായ പ്രിവിലേജ് എസ്കലേഷൻ ശ്രമങ്ങൾക്കായി നോക്കുക. പാച്ച് ചെയ്യുന്നതിന് മുമ്പ് ഫാൽക്കൺ ഫാൽക്കൺഫ്ലാങ്കിനെ ചൂഷണം ചെയ്യാനുള്ള ശ്രമങ്ങൾ വിജയകരമായി ലോഗ് ചെയ്താൽ, സംശയാസ്പദമായ മാക്രോ എക്സിക്യൂഷനും തുടർന്ന് അപ്രതീക്ഷിതമായ എലവേറ്റഡ് പ്രോസസ്സ് സൃഷ്ടിയും നിങ്ങൾ കാണും. ഫാൽക്കൺ ഒടുവിൽ എസ്കലേഷൻ തടഞ്ഞാലും, ആ സിഗ്നലുകൾ അന്വേഷിക്കേണ്ടതാണ്.
അവസാനമായി, നിങ്ങളുടെ ഭീഷണി മോഡലിന് ആവശ്യമുണ്ടെങ്കിൽ അധിക കേർണൽ-ലെവൽ പരിരക്ഷകളോ ഹൈപ്പർവൈസർ-ലെവൽ നിരീക്ഷണമോ ലെയർ ചെയ്യുന്നത് പരിഗണിക്കുക. എൻഡ്‌പോയിന്റ് സംരക്ഷണം പ്രധാനമാണ്, പക്ഷേ ഇത് നെറ്റ്‌വർക്ക് ഐസൊലേഷൻ, കുറഞ്ഞ പ്രിവിലേജ് ആക്‌സസ് നിയന്ത്രണങ്ങൾ, നിർണായക പാതകളിൽ ഫയൽ-ഇന്റഗ്രിറ്റി മോണിറ്ററിംഗ് എന്നിവയ്ക്ക് പകരമാവില്ല.
വിശാലമായ പ്രത്യാഘാതങ്ങൾ
ഇൻഫ്രാസ്ട്രക്ചർ സുരക്ഷാ ടീമുകൾ ആവർത്തിച്ച് പഠിക്കുന്ന ഒരു പാഠം ഫാൽക്കൺഫ്ലാങ്ക് ശക്തിപ്പെടുത്തുന്നു: സുരക്ഷാ ഉപകരണങ്ങൾ സോഫ്റ്റ്‌വെയറാണ്, സോഫ്റ്റ്‌വെയറിനും പോരായ്മകളുണ്ട്. ഒരു ഭീഷണി പരിഹരിക്കുന്ന പ്രവൃത്തി തന്നെ പരിഹാര പ്രവർത്തനം എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് മനസ്സിലാക്കുന്ന ഒരു ആക്രമണകാരിക്ക് അവസരം സൃഷ്ടിക്കുന്നു. ഫയർവാളുകൾ, നുഴഞ്ഞുകയറ്റ പ്രതിരോധ സംവിധാനങ്ങൾ, ആന്റിവൈറസ് സ്കാനറുകൾ, EDR സെൻസറുകൾ എന്നിവയ്ക്ക് ഇത് ശരിയാണ്.
ഫാൽക്കൺ - അല്ലെങ്കിൽ ഏതെങ്കിലും ഒരു ഉപകരണം - തകർക്കാൻ കഴിയില്ലെന്ന് അനുമാനിക്കുകയല്ല ഉത്തരവാദിത്തമുള്ള സമീപനം. പകരം, ഒരു EDR സെൻസറിൽ പോലും ഒരു പരാജയം പൂർണ്ണമായ വിട്ടുവീഴ്ചയിലേക്ക് വീഴാതിരിക്കാൻ നിങ്ങളുടെ സുരക്ഷാ നിലപാട് രൂപകൽപ്പന ചെയ്യുക. നിങ്ങളുടെ എൻഡ്‌പോയിന്റുകളിൽ നിന്ന് നിങ്ങളുടെ ലോഗുകൾ വേർതിരിക്കുക. ഔട്ട്-ഓഫ്-ബാൻഡ് മോണിറ്ററിംഗ് ഉപയോഗിക്കുക. കേർണലിലും ഹൈപ്പർവൈസർ തലത്തിലും സൂക്ഷ്മമായ ആക്‌സസ് നിയന്ത്രണങ്ങൾ നടപ്പിലാക്കുക. ബ്രീച്ച് അനുമാനിക്കുക, പ്രാഥമിക എൻഡ്‌പോയിന്റ് പരിരക്ഷ പരാജയപ്പെട്ടാലും നിങ്ങളുടെ കണ്ടെത്തലും നിയന്ത്രണ നടപടിക്രമങ്ങളും പ്രവർത്തിക്കുന്നുണ്ടെന്ന് സാധൂകരിക്കുക.
ഓഫ്‌ഷോർ അല്ലെങ്കിൽ സ്വകാര്യത കേന്ദ്രീകരിച്ചുള്ള ഇൻഫ്രാസ്ട്രക്ചർ ഇതിനകം കൈകാര്യം ചെയ്യുന്ന ഹോസ്റ്റിംഗ് ടീമുകൾക്ക്, നിങ്ങളുടെ സുരക്ഷാ ഉപകരണങ്ങൾ തന്നെ സൂക്ഷ്മപരിശോധന ആവശ്യമാണെന്ന് ഈ സംഭവം സമയബന്ധിതമായ ഓർമ്മപ്പെടുത്തലാണ്. സുതാര്യമായ അപ്‌ഡേറ്റ് കാഡൻസുകൾ, സ്വതന്ത്ര സുരക്ഷാ പരിശോധന, വ്യക്തമായ സംഭവ-പ്രതികരണ നടപടിക്രമങ്ങൾ എന്നിവയുള്ള EDR പരിഹാരങ്ങൾ തിരഞ്ഞെടുക്കുക. പോരായ്മകൾ പ്രത്യക്ഷപ്പെടുമ്പോൾ ഉടനടി പരിഹരിക്കുന്നതിന് അച്ചടക്കം പാലിക്കുക.
