وقتی تغییر رمز عبور برای مهار تهدید کافی نیست
بسیاری از تحلیلگران امنیتی ممکن است روز کاری خود را با هشداری آغاز کنند که از مشاهده آدرس ایمیل سازمانی یکی از کارکنان در یک لاگ جدید بدافزار رباینده اطلاعات خبر می‌دهد.
این لاگ ممکن است شامل نام کاربری و رمز عبور یک اپلیکیشن SaaS سازمانی، کوکی‌های مرورگر حاوی نشست‌های فعال و قابل سوءاستفاده و چندین اعتبارنامه ذخیره‌شده دیگر باشد.
در یک نمونه، رایانه شخصی کارمندی که صدها کیلومتر با دفاتر شرکت فاصله دارد، به بدافزار Vidar آلوده شده است. در چنین شرایطی، تغییر رمز عبور افشاشده اقدامی بدیهی به نظر می‌رسد؛ اما لزوماً مشکل را حل نمی‌کند. اگر بدافزار، کوکی یک نشست احراز هویت‌شده را نیز سرقت کرده باشد، مهاجم ممکن است بدون نیاز به رمز عبور یا دریافت مجدد درخواست احراز هویت چندعاملی (MFA) به اپلیکیشن دسترسی پیدا کند.
همچنین اگر کارمند از اعتبارنامه‌های سازمانی خود روی رایانه شخصی استفاده کرده باشد، ممکن است دستگاهی که منشأ افشای اطلاعات بوده، تحت مدیریت سازمان نباشد. از سوی دیگر، این اطلاعات ممکن است پیش از آنکه تیم امنیتی بتواند اقدامی انجام دهد، در یک کانال زیرزمینی تلگرام در اختیار واسطه‌های دسترسی اولیه، همکاران عملیاتی باج‌افزار یا مهاجمان فرصت‌طلب قرار گرفته باشد.
این همان چالش عملیاتی است که تیم‌های امنیتی به‌طور فزاینده‌ای با آن روبه‌رو هستند. پرسش اصلی این است که آیا رمز عبور افشاشده مربوط به گذشته است یا اینکه مهاجم همین حالا از آن برای دسترسی به حساب کاربر استفاده می‌کند.
چالش شناسایی داده‌های ارزشمند در میان میلیون‌ها رکورد بدافزار رباینده اطلاعات
بدافزارهایی مانند RedLine، Lumma، Vidar و غیره، با هدف جمع‌آوری اطلاعات ذخیره‌شده روی سیستم‌های آلوده طراحی شده‌اند.
بسته به نوع بدافزار و نحوه پیکربندی آن، این اطلاعات می‌تواند شامل رمزهای عبور ذخیره‌شده در مرورگر، کوکی‌ها، اطلاعات تکمیل خودکار فرم‌ها، کیف پول‌های رمزارزی، اطلاعات سیستم، پیکربندی‌های VPN و سایر داده‌های مرتبط با احراز هویت باشد.
طلاعات سرقت‌شده در قالب لاگ‌های حاوی داده‌های سرقتی گردآوری می‌شوند و سپس برای فروش در اختیار خریداران قرار می‌گیرند. هر آلودگی می‌تواند صدها یا حتی هزاران رکورد مجزا ایجاد کند؛ بنابراین با گسترش این روند در سراسر اکوسیستم بدافزار، تیم‌های امنیتی با حجم بسیار زیادی از داده‌های سرقت‌شده مواجه می‌شوند.
در حالی که تیم‌های امنیتی باید تمام این داده‌ها را بررسی و اعتبارسنجی کنند، مهاجمان تنها به یک مجموعه معتبر و ارزشمند از اعتبارنامه‌ها نیاز دارند. Flare برای توصیف این وضعیت، آن را به پیدا کردن یک سوزن در میان میلیون‌ها سوزن تشبیه می‌کند؛ سوزن‌هایی که در میلیون‌ها انبار کاه پراکنده شده‌اند. به این ترتیب، مسئله فقط پیدا کردن یک مورد در میان حجم زیادی از داده‌ها نیست، بلکه شناسایی یک داده مشخص و ارزشمند در میان میلیون‌ها داده مشابه است.
این لاگ‌ها در گذشته بیشتر در انجمن‌ها و بازارهای زیرزمینی عرضه و مبادله می‌شدند، اما برآورد Flare نشان می‌دهد که اکنون حدود 90 درصد آن‌ها در تلگرام منتشر می‌شوند. کانال‌های عمومی معمولاً نمونه‌هایی از این داده‌ها را برای جذب خریداران منتشر می‌کنند، در حالی که کانال‌های خصوصی مبتنی بر اشتراک، دسترسی به داده‌های جدیدتر را در اختیار کاربران قرار می‌دهند.
سطح ریسک اعتبارنامه‌های افشاشده متفاوت است
حجم بالای داده‌هایی که از کانال‌های مختلف منتشر می‌شوند، برای تیم‌های امنیتی اولویت‌بندی سطح ریسک را دشوار می‌کند. در یک سازمان بزرگ با هزاران کاربر، اگر دو هشدار امنیتی هم‌زمان دریافت شود، چگونه می‌توان تشخیص داد کدام‌یک تهدید جدی‌تری ایجاد می‌کند؟
برای مثال، هشدار نخست ممکن است مربوط به رمز عبور قدیمی یکی از کارکنان برای یک وب‌سایت عمومی باشد که در یک لاگ شش‌ماهه بدافزار رباینده اطلاعات مشاهده شده است. در مقابل، هشدار دوم می‌تواند مربوط به لاگی باشد که تنها یک روز قبل به‌دست آمده و علاوه بر اعتبارنامه‌های هویت سازمانی کاربر، حاوی یک نشست احراز هویت‌شده مرورگر برای سامانه ارائه‌دهنده هویت سازمان است.
هر دو مورد ممکن است به‌عنوان افشای اعتبارنامه کارکنان ثبت شوند، اما از نظر سطح ریسک تفاوت قابل‌توجهی با یکدیگر دارند. به همین دلیل، متخصصان امنیتی باید مانیتورینگ را بر دارایی‌هایی متمرکز کنند که می‌توانند میزان دسترسی و پیامدهای احتمالی سوءاستفاده از اطلاعات را مشخص کنند، از جمله:
- دامنه‌ها و زیردامنه‌های سازمانی
- ارائه‌دهندگان هویت سازمانی
- کوکی‌های نشست
- Endpointهای VPN و RDP
- کنسول‌های ابری
ارائه‌دهندگان هویت باید در اولویت مانیتورینگ امنیتی قرار داشته باشند؛ زیرا سوءاستفاده از یک هویت ورود یکپارچه (SSO Identity) در سرویس‌هایی مانند Microsoft Entra ID، Okta یا Google Cloud Identity می‌تواند دسترسی مهاجم به چندین اپلیکیشن و سرویس متصل را امکان‌پذیر کند. در صورت امکان، استفاده از فرآیندهای خودکار برای اعتبارسنجی و مهار تهدید نیز می‌تواند به شناسایی سریع‌تر موارد مشکوک و کاهش پیامدهای احتمالی حمله کمک کند.
سوءاستفاده مهاجمان از کوکی‌های نشست
پس از احراز هویت موفق کاربر، اپلیکیشن یک کوکی نشست ایجاد می‌کند تا کاربر برای هر درخواست، نیازی به احراز هویت مجدد نداشته باشد. اگر یک بدافزار بتواند این نشست احراز هویت‌شده را سرقت کند، مهاجم ممکن است بتواند همان نشست را مجدداً مورد استفاده قرار دهد.
در چنین شرایطی، اگر بدافزار رباینده اطلاعات یک کوکی نشست معتبر را سرقت کرده باشد، مهاجم می‌تواند با استفاده از همان نشست به حساب کاربری دسترسی پیدا کند و دیگر نیازی به ورود مجدد نخواهد داشت. در حالت عادی، داشتن صرفاً اعتبارنامه‌های سرقت‌شده همچنان مهاجم را ملزم به انجام فرآیند احراز هویت می‌کند و همین مرحله می‌تواند فرصتی برای تیم‌های امنیتی باشد تا تلاش برای ورود را شناسایی یا مسدود کنند. اما یک کوکی نشست معتبر می‌تواند این مرحله را به‌طور کامل حذف کند. در نتیجه، مهاجم عملاً می‌تواند احراز هویت چندعاملی (MFA) را دور بزند.
60 ثانیه نخست
Flare توصیه می‌کند بلافاصله پس از شناسایی داده‌های سرقت‌شده مرتبط با فعالیت بدافزار رباینده اطلاعات، ابتدا یک ارزیابی اولیه انجام شود و سپس سطح ریسک و اعتبار داده‌های شناسایی‌شده مورد بررسی قرار گیرد.
هدف در این مرحله، بررسی کامل رخداد امنیتی در همان دقایق نخست نیست؛ بلکه باید ابتدا مشخص شود این رخداد تا چه اندازه جدی است و سازمان با چه سرعتی باید به آن واکنش نشان دهد.
نخستین پرسش مهم این است: دقیقاً چه اطلاعاتی سرقت شده است؟ تحلیلگر امنیتی باید مشخص کند آلودگی چه زمانی رخ داده، لاگ ایجادشده مربوط به کدام سیستم است، چه تعداد اعتبارنامه سازمانی در آن وجود دارد و آیا نشست‌های احراز هویت‌شده نیز در جریان سرقت اطلاعات ثبت شده‌اند یا خیر. در مرحله بعد، باید شرایط و اهمیت دارایی‌های سازمانی نیز در ارزیابی لحاظ شود. برای مثال، اعتبارنامه مربوط به testserver.company.com لزوماً نباید همان اولویتی را داشته باشد که اعتبارنامه finance.company.com دارد.
به همین ترتیب، افشای اطلاعات یک حساب کاربری متعلق به کارآموز بازاریابی، لزوماً به اندازه افشای حساب یک ادمین سامانه اهمیت ندارد؛ به‌ویژه اگر حساب ادمین به ارائه‌دهنده هویت سازمانی، کنسول ابری و زیرساخت عملیاتی دسترسی داشته باشد.
بر اساس فریم‌ورک پیشنهادی Flare، ترکیب اعتبارنامه‌های هویت سازمانی و کوکی‌های نشست در بالاترین سطح ریسک، یعنی سطح بحرانی (Critical Severity) قرار می‌گیرد و سازمان باید برای واکنش به چنین مواردی کمتر از یک ساعت اقدام کند. همچنین، دسترسی VPN یا RDP در کنار چندین اعتبارنامه سازمانی، به دلیل قابلیت ایجاد دسترسی و حرکت جانبی در شبکه، در رده ریسک بالا (High Severity) قرار می‌گیرد.
از شناسایی اطلاعات افشاشده تا بررسی رخداد
فرض کنید لاگ مربوط به کاربر موردنظر شامل یک اعتبارنامه Microsoft Entra ID، رمزهای عبور سرویس‌های سازمانی مبتنی بر SaaS و کوکی‌های مرورگر باشد. در این مرحله، پرسش اصلی این است که آیا مهاجمی پیش از این از این اطلاعات برای دسترسی به حساب کاربری استفاده کرده است یا خیر.
تیم‌های امنیتی می‌توانند با تطبیق هویت افشاشده با داده‌های تله‌متری احراز هویت، نشانه‌هایی مانند ورودهای موفق و ناموفق، موقعیت‌های جغرافیایی غیرعادی، دستگاه‌های غیرمعمول، آدرس‌های IP ناشناس و دسترسی به منابعی خارج از الگوی معمول فعالیت کاربر را بررسی کنند.
همچنین باید مشخص شود که آیا اطلاعات سرقت‌شده هنوز قابل استفاده هستند یا خیر. آیا رمز عبور پس از زمان آلودگی تغییر کرده است؟ آیا نشست کاربر منقضی شده است؟ آیا حساب کاربری همچنان فعال است؟
فرآیند بررسی پیشنهادی Flare، تحلیل را به اطلاعات بیشتری گسترش می‌دهد و مواردی مانند مشخصات شناسایی مرورگر، فهرست کامل اعتبارنامه‌های ذخیره‌شده، اطلاعات سیستم آلوده و سایر داده‌های مرتبط مانند پیکربندی VPN و کلیدهای SSH را نیز بررسی می‌کند.
در مرحله بعد، باید مشخص شود این حساب کاربری به چه فردی تعلق دارد، چه سامانه‌ها و منابعی با این حساب در دسترس هستند و دستگاه آلوده متعلق به سازمان بوده یا یک سیستم شخصی. همچنین باید بررسی شود که آیا این مورد تنها یک آلودگی بوده یا می‌تواند بخشی از یک کمپین گسترده‌تر باشد.
پس از آن، لاگ‌های احراز هویت در تمام سامانه‌هایی که این هویت امکان دسترسی به آن‌ها را دارد، بررسی می‌شوند و منابع حساس‌تر در اولویت قرار می‌گیرند.
تیم‌های امنیتی باید به‌طور ویژه فعالیت‌هایی را بررسی کنند که می‌توانند نشانه سوءاستفاده از حساب کاربری باشند، از جمله:
- ورود از موقعیت‌های جغرافیایی غیرعادی
- دسترسی به منابعی که با نقش و سطح دسترسی کاربر مطابقت ندارند
- دانلودهای غیرعادی
- فعالیت‌های مرتبط با بازنشانی رمز عبور
- اضافه شدن دستگاه‌های جدید به حساب کاربری برای استفاده از احراز هویت چندعاملی (MFA)
در چنین شرایطی، لاگ بدافزار رباینده اطلاعات می‌تواند به‌عنوان یک هشدار زودهنگام، نشانه‌های سوءاستفاده از هویت کاربر را آشکار کند.
لاگ‌های سرقت‌شده توسط بدافزار رباینده اطلاعات را بخشی از مسئله امنیت هویت در نظر بگیرید
پس از تأیید دسترسی غیرمجاز به اطلاعات حساس، سرعت عمل اهمیت زیادی دارد. تیم‌های امنیتی باید:
- نشست‌های در معرض سوءاستفاده را خاتمه دهند.
- رمزهای عبور و اعتبارنامه‌های مرتبط را بازنشانی کنند.
- مانیتورینگ فعالیت‌های مرتبط با هویت کاربر را افزایش دهند.
علاوه بر بررسی موارد جداگانه، سازمان‌ها باید الگوهای تکرارشونده، اپلیکیشن‌های تحت تأثیر و تلاش‌های احتمالی برای استفاده از اعتبارنامه‌های سرقت‌شده یا ورود به سامانه‌های سازمانی را نیز به‌طور مستمر بررسی کنند.
در نهایت، مانیتورینگ بدافزارهای رباینده اطلاعات به یکی از لایه‌های ضروری امنیت هویت تبدیل شده است. این رویکرد به سازمان‌ها امکان شناسایی اعتبارنامه‌ها و نشست‌های افشا شده، ارزیابی سطح دسترسی آن‌ها و تعیین میزان قابلیت استفاده مجدد از اطلاعات سرقت‌شده را می‌دهد. در نتیجه، تیم‌های امنیتی می‌توانند پیش از آنکه سوءاستفاده احتمالی از حساب کاربری منجر به یک نفوذ گسترده‌تر شود، اقدامات لازم برای مهار آن را در دستور کار قرار دهند.
