الهجمات على الشركات والمؤسسات: استخدام خدمات مايكروسوفت كسلاح

شرح القراصنة كيفية استغلال البرمجيات المشروعة. وأظهرت عدة تقارير في مؤتمر بلاك هات 2017 أن برامج حماية ميكروسوفت للشركات يمكن أن تكون مفيدة جدا في أيدي المهاجمين والقراصنة.

وعلى الشركات التي تستخدم سحب التخزين الهجينة أن تعتمد على معايير أمنية مختلفة عن تلك التي تستخدمها الأنظمة التقليدية.
من الناحية العملية لا يتم تحديث السحب بشكل سريع بما فيه الكفاية، وهذا يؤدي إلى العديد من البقع العمياء الأمنية التي يمكن استغلالها، كما اتضح في يوليو في مؤتمر القراصنة بلاك هات 2017. أظهرت الدراسات كيف البنية التحتية للشركات يمكن أن تساعد المهاجمين ولا تزال غير مرئية بالنسبة إلى غالبية الحلول الأمنية.

وبمجرد أن يتسلل قراصنة بدوافع مالية إلى شبكة الشركات، فإن الصعوبات التي يواجهونها هي تبادل البيانات السرية بين الأجهزة المصابة. ويكون هدفهم هو أن تتلقى الأجهزة المصابة الأوامر ونقل المعلومات المسروقة دون تنبيه أنظمة كشف التسلل (IDS) ونظم منع فقدان البيانات (DLP). خدمات ميكروسوفت في بعض الأحيان لا تعمل تحت القيود الأمنية، وبالتالي فإن البيانات المرسلة من قبل هذه الخدمات لا يتم مسحها بشكل كاف..

وتظهر دراسة من قبل تي ميلر وبول كالينين من “Threat Intelligence” كيف يمكن الروبوتات التواصل على الانترنت من خلال خدمات أكتيف ديركتوري (AD) على شبكة الشركات. لأن جميع “العملاء” – بما في ذلك تلك النقالة – على الشبكة، وغالبية الخوادم “سيرفر”، يجب عليهم الوصول اولاً إلى (AD) للمصادقة، سيرفر (AD” هو “نقطة الاتصال المركزية”، والتي هي مريحة جدا لإدارة الروبوتات. وعلاوة على ذلك، يقول الباحثون أن دمج “Azure AD” مع “enterprise AD” يسمح للروبوتات بالوصول المباشر إلى الشبكات من الخارج.

كيف يمكن أن يساعد (AD) في إدارة الروبوتات واستخراج البيانات؟ المفهوم بسيط جدآ. بشكل افتراضي يمكن لكل عميل على الشبكة تحديث معلوماته – على سبيل المثال، رقم هاتف المستخدم وعنوان البريد الإلكتروني – على خادم (AD) تتضمن الحقول التي تم تمكين الكتابة فيها قدرات عالية السعة يمكنها تخزين ما يصل إلى ميغابايت من البيانات. يمكن للمستخدمين (AD) الآخرين قراءة كل هذه المعلومات، وبالتالي إنشاء قناة اتصال.

يوصي الباحثون بمراقبة حقول (أد) لإجراء تغييرات دورية وغير عادية وتعطيل قدرة المستخدمين على الكتابة في معظم الحقول.

الأكثر شعبية بين التقنيات (أوندريف فور بوسينيس) يستخدمها ما يقرب من 80٪ من عملاء ميكروسوفت أونلين سيرفيسز. والقراصنة يستخدمونه أيضاً لأن رجال تكنولوجيا المعلومات للشركات عادة ما يثقون في خوادم مايكروسوفت، مما يجعلهم يسمحون باتصالات عالية السرعة وتخطي فك التشفير للتحميلات.

وفقا ل (Dods)، للبقاء محمي ضد مثل هذه الهجمات، يحتاج المستخدمون إلى تقييد الوصول والسماح فقط لأوفيس 365 والنطاقات الفرعية التي تنتمي إلى الشركة(subdomains). ويوصى أيضا بإجراء فحص عميق لحركة مرور البيانات المشفرة وتحليل سلوك البرامج النصية (PowerShell).

يجب أن تأخذ في الاعتبار أن كلا من هذه التهديدات لا تزال افتراضية فقط. لاستخدام هذه التقنيات، يجب أن يبدأ مجرمو الإنترنت بتسلل البنية التحتية للضحية – بطريقة أو بأخرى. ولكن بمجرد القيام بذلك، لن يكون من الممكن اكتشاف نشاطهم ليس فقط بالنسبة لمعظم الحلول الأمنية المستكملة. وهذا هو السبب في أنه من المنطقي تحليل البنية التحتية لتكنولوجيا المعلومات من أجل نقاط الضعف بشكل دوري. نحن، على سبيل المثال، لدينا مجموعة كاملة من خدمات الخبراء لتحليل ما يجري في البنية التحتية الخاصة بك من وجهة نظر أمن المعلومات – وإذا لزم الأمر، والتحقق من نظام التسلل.