Rétrospective de carrière en cybersécurité : Mes expériences personnelles

Quand j'apprends quelque chose, je passe par un processus cognitif spécifique ; ce sont les processus qui m'ont amené à écrire ce blog.

C'est ma méthode.
Comprenez-vous le concept?
Comment appliquer le concept ?
Appliquer le principe de manière cohérente ?
Que pouvons-nous retenir de cette rencontre ?

Saisir le concept.

Azure Sentinel (SIEM) et l'a connecté à une machine virtuelle en direct qui a servi de pot de miel. Observer des attaques en direct (RDP Brute Force) du monde entier. Utilisez un script PowerShell personnalisé pour récupérer les données de géolocalisation de l'attaquant et tracez-les sur la carte Azure Sentinel !

Comment appliquer le concept ?

Créer un pot de miel et observer ce que l'attaquant fait ensuite est possible avec Azure Sentinel (SIEM), en se connectant à RDP sur la machine virtuelle, en commençant à exécuter l'API et le script Powershell sur la machine virtuelle et en surveillant l'attaque par force brute de l'acteur menaçant.

Lorsque les attaquants ont tenté d'accéder au pot de miel, ils ont utilisé User et Admin comme noms d'utilisateur sous diverses formes. Collecte d'informations, telles que la nation, la ville, l'état, la province, l'adresse IP, la longitude et la latitude, pour identifier les attaquants.

Cela nous aide à décider quoi faire ensuite avec les données que nous avons collectées.

Appliquer le principe de manière cohérente ?

Pour appliquer le principe de manière cohérente, je voulais faire l'expérience de cyberattaques afin que lorsque j'ai commencé à travailler en tant qu'analyste SOC, je sache pourquoi et comment utiliser Microsoft Sentinel (SIEM). Cela m'aide à comprendre à quoi ressemble une attaque et comment remédier au problème. .

J'ai utilisé le Cyber ​​Threat Intelligence Cycle ;

J'en parlerai plus en profondeur dans un autre blog, mais pour celui-ci, j'utiliserai la première étape.

Étape 1 : Exiger

Qu'est-ce qui motive les agresseurs et qui sont-ils ?

Des attaquants de différentes nations ont ciblé le pot de miel en raison de sa facilité d'accès en raison de l'absence de sécurité, d'autant plus que le pare-feu était désactivé - Les trois grands étaient l'Éthiopie, la Chine et Taïwan.

Pour utiliser une illustration, si un cambrioleur se trouve dans votre région et que votre maison est vulnérable - c'est-à-dire qu'il n'y a pas d'alarme, que les fenêtres sont ouvertes et que les portes sont déverrouillées - il y a une opportunité pour un voleur.

Quelle est la surface d'attaque ?

L'attaque était une attaque par force brute via le port RDP 3389.

Quelles actions spécifiques faut-il entreprendre pour renforcer leurs défenses contre une future attaque ?

Lors de la configuration des machines, que ce soit dans un environnement virtuel ou physique, le pare-feu est activé. Lors de l'observation, le nombre d'attaques utilisant le mot « nom d'utilisateur » ou « admin » lors de la tentative d'entrée dans le pot de miel était astronomique. renforcer les défenses face aux attaques par force brute en créant des noms d'utilisateur et des mots de passe conformément aux procédures de cybersécurité acceptables.

Que pouvons-nous retenir de cette rencontre ?

La leçon la plus importante a été d'en savoir plus sur Microsoft Azure - SIEM, comment cet exercice a commencé en tant qu'équipe bleue surveillant ce que faisait l'attaquant, à quelle vitesse il pouvait se transformer en une équipe rouge en collectant des données et en poursuivant l'attaquant, et je crois que c'est pourquoi la cybersécurité m'a fasciné qu'il peut être si fluide dans la façon dont vous traitez l'attaquant et recueillez des informations pour déterminer une décision basée sur les résultats sur ce qu'il faut faire ensuite.

Sommaire

Dans cet article de blog, nous utiliserons les données de géolocalisation pour trouver les attaquants en recueillant des informations telles que la ville, l'état, la province, l'adresse IP, la longitude et la latitude.

L'Éthiopie, la Chine et Taïwan étaient les trois nations les plus répandues dans les attaques par force brute coordonnées utilisant le port RDP 3389.

Le nombre d'attaques tentant d'accéder au pot de miel en utilisant le mot « nom d'utilisateur » ou « admin » était stupéfiant.

Les utilisateurs doivent renforcer leur cybersécurité en créant des noms d'utilisateur et des mots de passe conformes aux procédures de cybersécurité acceptables.

Cybersécurité 101 Conseils

❑Utilisez toujours des mots de passe de sécurité d'au moins 16 caractères composés de minuscules, de majuscules, de chiffres et de caractères spéciaux.

❑Utilisez un coffre-fort de mots de passe pour stocker et garder une trace de tous vos mots de passe.

❑Utilisez l'authentification multifacteur pour tous vos comptes qui nécessitent des connexions.

❑Protégez votre identité en vous inscrivant à un service de protection d'identité pour surveiller votre crédit pour tous les comptes que vous n'avez peut-être pas ouverts.

❑N'écrivez jamais vos mots de passe.

❑Si vous recevez un appel demandant le paiement de votre facture d'électricité, de gaz, de prêt hypothécaire en échange d'une carte-cadeau… raccrochez car il s'agit d'une arnaque classique.

❑Si vous recevez un appel d'assistance technique pour votre ordinateur de bureau/ordinateur portable… raccrochez car il s'agit d'une autre arnaque classique.

❑Si vous recevez un message texte aléatoire indiquant que vous avez gagné de l'argent et/ou qu'ils fournissent un lien….bloquez ou mettez le numéro dans votre dossier spam sur votre appareil mobile.

❑Si vous recevez un e-mail demandant des informations personnelles, validez toujours l'"expéditeur" qui provient directement d'une entreprise et/ou organisation légitime

Je tiens à remercier personnellement Josh Makador pour cette fantastique procédure pas à pas, que vous pouvez regarder dans la vidéo ci-dessus.

David Meece mérite une reconnaissance spéciale pour ses conseils Cyber ​​Security 101.