Retrospectiva de carreira em segurança cibernética: minhas experiências pessoais

Quando estou aprendendo alguma coisa, passo por um processo cognitivo específico; estes são os processos que me levaram a escrever este blog.

Este é o meu método.
Você compreende o conceito?
Como o conceito deve ser aplicado?
Aplicar o princípio consistentemente?
O que podemos levar deste encontro?

Agarrando o conceito.

Azure Sentinel (SIEM) e conectou-o a uma máquina virtual ao vivo que serviu como um pote de mel. Observando ataques ao vivo (RDP Brute Force) de todo o mundo. Utilize um script personalizado do PowerShell para recuperar os dados de geolocalização do invasor e plotá-los no Azure Sentinel Map!

Como o conceito deve ser aplicado?

É possível criar um honeypot e observar o que o invasor faz a seguir com o Azure Sentinel (SIEM), fazer logon no RDP na VM, bem como começar a executar a API e o script Powershell na VM e monitorar o ataque de força bruta do agente da ameaça.

Quando os atacantes tentaram acessar o pote de mel, eles usaram User e Admin como nomes de usuário de várias formas. Coleta de informações, como nação, cidade, estado, província, endereço IP, longitude e latitude, para identificar os invasores.

Isso nos ajuda a decidir o que fazer a seguir com os dados que coletamos.

Aplicar o princípio consistentemente?

Para aplicar o princípio de forma consistente, eu queria experimentar ataques cibernéticos para que, quando começasse a trabalhar como analista de SOC, soubesse por que e como usar o Microsoft Sentinel (SIEM), isso me ajuda a entender como é um ataque e como remediar o problema .

Eu utilizei o Ciclo de Inteligência de Ameaças Cibernéticas;

Discutirei isso com mais profundidade em outro blog, mas para este usarei o primeiro passo.

Passo 1: Exigir

O que motiva os atacantes e quem são eles?

Atacantes de diferentes nações visaram o honeypot devido à sua facilidade de acesso devido à ausência de segurança, especialmente porque o firewall foi desativado - os três grandes foram Etiópia, China e Taiwan.

Para usar uma ilustração, se um ladrão estiver em sua área e sua casa estiver vulnerável – ou seja, não há alarme, as janelas estão abertas e as portas destrancadas – há uma oportunidade para um ladrão.

Qual é a superfície de ataque?

O ataque foi um ataque de força bruta através da porta RDP 3389.

Que ações específicas devem ser tomadas para fortalecer suas defesas contra um ataque futuro?

Ao configurar as máquinas, seja em ambiente virtual ou físico, o firewall é habilitado. Na observação, o número de ataques usando a palavra “nome de usuário” ou “admin” durante a tentativa de entrar no honeypot foi astronômico. para fortalecer as defesas quando se trata de ataques de força bruta, criando nomes de usuário e senhas de acordo com os procedimentos aceitáveis ​​de segurança cibernética.

O que podemos levar deste encontro?

A lição mais importante foi aprender sobre o Microsoft Azure — SIEM, como esse exercício começou como uma equipe azul monitorando o que o invasor estava fazendo, a rapidez com que poderia se converter em uma equipe vermelha coletando dados e perseguindo o invasor, e acredito que isso seja por que a segurança cibernética me fascinou que pode ser tão fluido em como você lida com o invasor e coleta informações para determinar uma decisão baseada em resultados sobre o que fazer a seguir.

Resumo

Neste artigo do blog, usaremos dados de geolocalização para encontrar os invasores reunindo informações como cidade, estado, província, endereço IP, longitude e latitude.

Etiópia, China e Taiwan foram as três nações mais prevalentes em ataques de força bruta coordenados usando RDP Port 3389.

O número de ataques tentando acessar o honeypot usando a palavra “username” ou “admin” foi surpreendente.

Os usuários devem fortalecer sua segurança cibernética criando nomes de usuário e senhas de acordo com os procedimentos aceitáveis ​​de segurança cibernética.

101 dicas de segurança cibernética

❑Sempre use senhas de segurança com pelo menos 16 caracteres consistindo de minúsculas, maiúsculas, números e caracteres especiais.

❑Utilize um cofre de senhas para armazenar e controlar todas as suas senhas.

❑Utilize a autenticação multifator para todas as suas contas que exigem logins.

❑Proteja sua identidade inscrevendo-se em um serviço de proteção de identidade para monitorar seu crédito para quaisquer contas que não tenham sido abertas por você.

❑Nunca anote suas senhas.

❑Se você receber uma ligação solicitando o pagamento de sua conta de luz, conta de gás, hipoteca da casa em troca de um vale-presente... desligue, pois esse é um golpe clássico.

❑Se você receber uma chamada de suporte técnico para seu desktop/laptop…desligue, pois esse é outro golpe clássico.

❑Se você receber uma mensagem de texto aleatória informando que ganhou dinheiro e/ou eles fornecem um link… bloqueie ou coloque o número na pasta de spam do seu dispositivo móvel.

❑Se você receber um e-mail solicitando qualquer informação pessoal sempre valide o “remetente” que é diretamente de uma empresa e/ou organização legítima

Gostaria de agradecer pessoalmente a Josh Makador por este passo a passo fantástico, que você pode assistir no vídeo acima.

David Meece merece reconhecimento especial por fornecer conselhos sobre segurança cibernética 101.