Куда я попал?
Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы:
управление рисками, контроль соответствия требованиям, учет активов,
планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
Подробнее
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
из-за уязвимости
Наличие административных общих сетевых ресурсов SMB
в Активе
ОС Windows
Описание угрозы
Тактика бокового движения (Lateral Movement) включает методы получения злоумышленником доступа и контроля над удаленными системами, подключенными к атакованной сети, а так же, в некоторых случаях, запуска вредоносных инструментов на удаленных системах, подключенных к атакованной сети. Боковое перемещение по сети позволяет злоумышленнику получать информацию из удаленных систем без использования дополнительных инструментов, таких как утилиты удаленного доступа (RAT).
Описание уязвимости
SMB - это протокол общего доступа к файлам, принтерам и последовательным портам для компьютеров Windows в одной сети или домене. В качестве реализации SMB в Linux и macOS обычно используют Samba.
ОС Windows имеют скрытые сетевые ресурсы C$, ADMIN$ и IPC$, доступные только администраторам и обеспечивающие возможность удаленного копирования файлов и другие административные функции. Злоумышленник может использовать скомпрометированные учетные записи уровня администратора для удаленного доступа к сетевой системе через SMB, для взаимодействия с системами с помощью удаленных вызовов процедур (RPC), для передачи файлов и запуска передаваемых двоичных файлов через удаленное выполнение (через запланированные задачи/задания, службы и WMI Windows). Противники также могут использовать хэши NTLM для доступа к общим ресурсам администратора.
ОС Windows имеют скрытые сетевые ресурсы C$, ADMIN$ и IPC$, доступные только администраторам и обеспечивающие возможность удаленного копирования файлов и другие административные функции. Злоумышленник может использовать скомпрометированные учетные записи уровня администратора для удаленного доступа к сетевой системе через SMB, для взаимодействия с системами с помощью удаленных вызовов процедур (RPC), для передачи файлов и запуска передаваемых двоичных файлов через удаленное выполнение (через запланированные задачи/задания, службы и WMI Windows). Противники также могут использовать хэши NTLM для доступа к общим ресурсам администратора.
Описание типа актива
Microsoft Windows любых версийОбъекты атаки
Локальная сеть
Классификация
КЦД:
Конфиденциальность
?
Конфиденциальность / confidentiality Свойство информации быть недоступной или закрытой для неавторизованных лиц, сущностей или процессов.
Целостность
?
Целостность / integrity Свойство сохранения правильности и полноты активов.
Источники угрозы
Внешний нарушитель -
Низкий потенциал
?
Внешний нарушитель Находящийся вне информационной системы на момент начала реализации угрозы.
Для реализации угроз в информационной системе внешний нарушитель...
Внутренний нарушитель -
Низкий потенциал
?
Внутренний нарушитель Находящийся внутри информационной системы на момент начала реализации угрозы.
К внутренним нарушителям относят инсайдеров, несмотря на то...
Техники ATT@CK:
T1021.002
Remote Services:
SMB/Windows Admin Shares
Adversaries may use Valid Accounts to interact with a remote network share using Server Me...
Связанные защитные меры
Название | Дата | Влияние | ||
---|---|---|---|---|
Community
9
25
/ 34
|
Выделение ключевых систем в отдельную сеть (сегментация сети)
Разово
Вручную
Техническая
Превентивная
03.05.2022
|
03.05.2022 | 9 25 / 34 | |
Community
6
3
/ 15
|
Межсетевое экранирование на границе сети
Постоянно
Автоматически
Техническая
Превентивная
03.06.2021
|
03.06.2021 | 6 3 / 15 |