„Microsoft“ komanda seka pavojingiausius pasaulio įsilaužėlius

Konceptualus Ms Tech / šaltinio vaizdai: Unsplash, Wikimedia commons

Kai Pentagonas neseniai suteikė Microsoft 10 milijardų dolerių sutartį dėl JAV kariuomenės debesų kompiuterijos sistemų pertvarkymo ir talpinimo, didžiulis pinigų kiekis atėjo su netiesioginiu iššūkiu: ar Microsoft gali apsaugoti Pentagono sistemas nuo kai kurių labiausiai išteklius turinčių, atkakliausių ir įmantrius įsilaužėlius žemėje?

Jie yra puolami kiekvieną paros valandą, sako Jamesas Lewisas, Strateginių ir tarptautinių studijų centro viceprezidentas.

Naujausias „Microsoft“ laimėjimas prieš debesų konkurentę „Amazon“ dėl itin pelningos karinės sutarties reiškia, kad vienas svarbiausių pasaulyje žvalgybos duomenų rinkimo aparatas yra įsikūręs miškuose už Sietlo. Tokios atsakomybės už nacionalinį saugumą kadaise buvo beveik vien tik Vašingtone. Dabar šiame Vašingtono valstijos kampelyje dešimtys inžinierių ir žvalgybos analitikų yra pasiryžę stebėti ir sustabdyti vyriausybės remiamų įsilaužėlių plitimą visame pasaulyje.

Vadinamosios MSTIC (Microsoft Threat Intelligence Center) komandos nariai yra orientuoti į grėsmes: viena grupė yra atsakinga už Rusijos įsilaužėlius kodiniu pavadinimu Strontium, kita stebi Šiaurės Korėjos programišius kodiniu pavadinimu Cinkas, o dar kita seka Irano programišius kodiniu pavadinimu. Holmium. MSTIC stebi daugiau nei 70 kodiniais pavadinimais vyriausybių remiamų grėsmių grupių ir daug daugiau neįvardytų.

Lietus prasidėjo prieš pat man atvykstant įprastą rudens dieną Redmonde, Vašingtone. Viso mano apsilankymo metu jis vis mažėjo. „Microsoft“ būstinė yra tokia pat didžiulė ir labirintinė, kaip ir bet kuri vyriausybinė įranga, joje yra šimtai pastatų ir tūkstančiai darbuotojų. Norėčiau susitikti su „Microsoft“ komanda, kuri seka pavojingiausius pasaulio įsilaužėlius.

Puolimas ir gynyba

Johnas Lambertas įkūrė ir vadovauja MSTIC. Microsoft

Johnas Lambertas dirba „Microsoft“ nuo 2000 m., kai Vašingtone ir „Microsoft“ Vašingtono valstijos būstinėje pirmą kartą pasirodė nauja kibernetinio saugumo realybė.

Microsoft, tuomet buvusi išskirtinai galinga įmonė, monopolizavusi kompiuterių programinę įrangą, tik palyginti neseniai suprato interneto svarbą. Kai „Windows XP“ užkariavo pasaulį ir liko šokiruojančiai nesaugi, komanda patyrė daugybę didžiulių ir gėdingų saugumo gedimų, įskaitant savaime besidauginančius kirminus, tokius kaip Code Red ir Nimda. Gedimai palietė daugybę „Microsoft“ vyriausybės ir privataus sektoriaus klientų, sukeldami pavojų jos pagrindinei veiklai. Tik 2002 m., kai Billas Gatesas išsiuntė savo garsiąją atmintinę, ragindamas daugiau dėmesio skirti patikimiems kompiuteriams, Redmondas pagaliau pradėjo grumtis su kibernetinio saugumo svarba.

Būtent tada Lambertas susižavėjo puolamąja kibernetinės erdvės puse.

Puolimo ir gynybos ribose reikalingas tobulumas, sakė man Lambertas. Norint gerai gintis, reikia mokėti atakuoti. Jūs taip pat turite turėti įžeidžiantį mąstymą; Jūs negalite galvoti tik apie gynybą, jei nežinote, kaip kūrybiškai elgtis puolime.

Pamatęs, kad daugėja vyriausybės remiamų įsilaužimo kampanijų, Lambertas pasinaudojo šiuo įžeidžiančiu požiūriu, kad padėtų iš esmės pakeisti „Microsoft“ požiūrį į šią problemą. Tikslas buvo pereiti iš nežinomo šešėlinio pasaulio, kuriame gynybos komandos nusivylusios stebi, kaip sudėtingi įsilaužėliai įsiskverbia į tinklus su stipriais nulinės dienos pažeidžiamumais, į domeną, kuriame „Microsoft“ gali matyti beveik viską.

Kokios yra „Microsoft“ supergalios? Lambertas prisimena klausęs.

Atsakymas yra tas, kad jos operacinė sistema „Windows“ ir kita programinė įranga yra beveik visur, todėl „Microsoft“ turi įrankius pajusti, kas vyksta milžiniškose interneto srityse. Tai kelia tikrus ir nuolatinius privatumo klausimus, su kuriais vis dar nesame visiškai susidoroję. Tačiau dėl saugumo tai yra didžiulis pranašumas.

„Microsoft“ produktuose jau buvo įdiegtos „Windows“ klaidų ataskaitų sistemos, kad būtų galima suprasti bendrąsias klaidas ir gedimus naudojant telemetriją arba renkant duomenis iš bet kurios naudojamos įmonės aparatinės ar programinės įrangos. Tačiau būtent Lambertas ir apsaugos komandos pavertė telemetrijos sistemas galingais saugos įrankiais, paversdami kažkada lėtą ir sunkią užduotį. Anksčiau apsaugos komandos dažnai turėdavo fiziškai apkeliauti pasaulį, surasti konkrečias tikslines mašinas, kopijuoti jų kietuosius diskus ir lėtai pasinerti į incidentus. Dabar tie įrenginiai tiesiog pasiekia „Microsoft“. Beveik apie kiekvieną gedimą ir netikėtą elgesį pranešama įmonei, kuri rūšiuoja daugybę duomenų ir dažnai randa kenkėjiškas programas anksčiau nei bet kas kitas.

Kenkėjiška programa, žinoma kaip Blogasis triušis 2017 m., kuris apsimetė „Adobe Flash“ atnaujinimu, o paskui nuvalė aukos standųjį diską, parodo, kaip „Microsoft“ silpnybę pakeitė į stiprybę. Per 14 minučių nuo išpirkos reikalaujančios programinės įrangos įvedimo mašininio mokymosi algoritmai perėmė duomenis ir greitai pradėjo suprasti grėsmę. „Windows Defender“ pradėjo jį blokuoti automatiškai, gerokai anksčiau nei bet kuris žmogus suprato, kas vyksta.

2017 m. „Bad Rabbit“ buvo pastebėtas daugiausia Rusijoje ir Ukrainoje. Tai yra išpirkos kupiūros aukos. Šaltinio vaizdas: Kaspersky Labs

Tai yra dalykas, kurio niekas kitas neturi: matomumas ir duomenys. Duomenys, kurių niekas kitas neturi, yra apie tas taikomųjų programų gedimus operacinėje sistemoje ir programinės įrangos lygmenyje, sako buvęs Nacionalinės saugumo agentūros narys Jake'as Williamsas. Net ir trečiųjų šalių gedimų atveju jie turi telemetriją. Kai pradedate žiūrėti į išnaudojimo taikinius, „Microsoft“ turi galimybę per savo telemetriją. Dėl šios telemetrijos kiekvienas „Windows“ įrenginys ir produktas tapo šaltiniu, kuris akimirksniu ir visame pasaulyje pateikia „Microsoft“ duomenis ir žurnalus apie bet ką neįprastą.

„Microsoft“ mato dalykus, kurių niekas kitas nemato, sako Williamsas, įkūręs kibernetinio saugumo įmonę „Rendition Infosec“. Reguliariai randame dalykų, pvz., „Office 365“ kenkėjiškų IP žymes, kurias „Microsoft“ pažymi, bet niekur kitur to nematome kelis mėnesius.

Sujunkite taškus

Kibernetinės grėsmės žvalgyba – tai priešų sekimo, duonos trupinių sekimo ir žvalgybos informacijos, kurią galite panaudoti padėti savo komandai ir apsunkinti antrosios pusės gyvenimą, disciplina. Kad tai pasiektų, penkerių metų MSTIC komandą sudaro buvę šnipai ir vyriausybės žvalgybos operatoriai, kurių patirtis tokiose vietose kaip Fort Meade, kur yra Nacionalinio saugumo agentūra ir JAV kibernetinė komanda, iš karto perkeliama į jų pareigas Microsoft.

MSTIC įvardija daugybę grėsmių, tačiau geopolitika sudėtinga: Kinija ir JAV, dvi svarbiausios kibernetinės erdvės žaidėjos ir dvi didžiausios pasaulio ekonomikos, praktiškai niekada nėra vadinamos taip, kaip tokios šalys kaip Iranas, Rusija ir Šiaurės Korėja. dažnai yra.

Mūsų komanda naudoja duomenis, sujungia taškus, pasakoja istoriją, seka aktorių ir jų elgesį, sako Jeremy Dallman, MSTIC strateginių programų ir partnerysčių direktorius. Jie ieško aktorių – kur juda, ką planuoja toliau, kam taikosi – ir to siekia.

Tanmay Ganacharya vadovauja pažangiems grėsmių apsaugos tyrimams Microsoft Defender komandoje, kuri taiko duomenų mokslą į gaunamų signalų masę, siekdama sukurti naujus gynybos sluoksnius. Kadangi turime produktų bet kurioje srityje, apie kurią galite galvoti, turime jutiklius, kurie duoda mums reikiamus signalus, sako jis. Problema buvo ta, kaip iš tikrųjų elgtis su visais šiais duomenimis?

„Microsoft“, kaip ir kiti technologijų milžinai, įskaitant „Google“ ir „Facebook“, reguliariai praneša žmonėms, į kuriuos nusitaiko vyriausybės įsilaužėliai, o tai suteikia taikiniams galimybę apsiginti. Praėjusiais metais MSTIC pranešė apie 10 000 „Microsoft“ klientų, kad į juos taikosi vyriausybės įsilaužėliai.

Nauji tikslai

Nuo rugpjūčio mėn. MSTIC pastebėjo tai, kas žinoma kaip slaptažodžių purškimo kampanija. Įsilaužėliai spėliojo apie 2 700 slaptažodžių paskyroms, susijusioms su Amerikos prezidento rinkimų kampanija, vyriausybės pareigūnais, žurnalistais ir aukšto rango iraniečiais, gyvenančiais už Irano ribų. Per šią ataką buvo pažeistos keturios paskyros.

MSTIC analitikai kompromisus iš dalies nustatė sekdami infrastruktūrą, „Microsoft“ teigia žinanti, kad ją kontroliuoja tik Irano programišių grupė „Phosphorus“.

Kai suprasime jų infrastruktūrą – žinome, kad IP adresas yra jų, kurį jie naudoja piktavaliams tikslams – galime pradėti žiūrėti DNS įrašus, sukurtus domenus, platformos srautą, sako Dallmanas. Kai jie apsisuka ir pradeda naudoti tą infrastruktūrą tokio pobūdžio išpuoliams, mes tai matome, nes jau stebime tai kaip žinomą to veikėjo elgesio rodiklį.

Atlikęs nemažą žvalgybos darbą, „Phosphorus“ bandė išnaudoti paskyros atkūrimo procesą naudodamas tikrus taikinių telefono numerius. MSTIC pastebėjo „Phosphorus“ ir kitus vyriausybės remiamus įsilaužėlius, įskaitant Rusijos „Fancy Bear“, ne kartą taikančius šią taktiką, bandančius sukčiauti dviejų veiksnių autentifikavimo kodus didelės vertės taikiniams.

Šia proga „Microsoft“ nerimą sukėlė tai, kad „Phosphorus“ pakeitė įprastą NVO ir sankcijų organizacijų veiklos procedūrą. Pasikeitė kryžkelė, keitėsi taktika, o apimtis augo.

Tai nėra neįprasta, tačiau skirtumas buvo tas, kad tai buvo žymiai didesnio masto, nei matėme anksčiau, sako Dallmanas. Jie dažnai taikosi į tokio tipo žmones, tačiau tai buvo mastas ir didžiulis žvalgybos darbas, kurį jie atliko šioje kampanijoje [kitaip buvo]. Ir galiausiai tai nulėmė asmenys, į kuriuos jie taikė, įskaitant asmenis, dalyvaujančius prezidento rinkimų kampanijoje.

„Microsoft“ žiaurumas galiausiai parodė pirštu į Irano programišius, kurie nusitaikė į prezidento rinkimų kampanijas, įskaitant „Reuters“. pranešė , Donaldo Trumpo 2020 m. perrinkimo operacija.

„Microsoft“ Redmond miestelis yra didžiulis. Daugiau nei 8 milijonai kvadratinių pėdų yra daugiau nei 50 000 darbuotojų namai. šaltinis: Microsoft

Mes matėme modelius.

Per du Lamberto darbo „Microsoft“ dešimtmečius kibernetinio domeno įrankiai ir ginklai paplito dar dešimtyse šalių, šimtuose pajėgių kibernetinių nusikaltimų grupių ir – vis dažniau – privataus sektoriaus įmonių, parduodančių išnaudojimus tarptautiniu mastu pirkėjams, norintiems mokėti didžiausius dolerius, pramonėje.

Lambertas sako, kad platinimas reiškia daug platesnį aukų spektrą. Daugiau aktorių, kuriuos reikia stebėti.

Tai atsispindi politiniuose įsilaužimuose. Viena iš 2016 m. JAV rinkimų pasekmių yra tai, kad padaugėjo žaidėjų, kovojančių už politinių partijų, kampanijų ir ekspertų grupių įsilaužimą, jau nekalbant apie pačią vyriausybę. Su rinkimais susijęs įsilaužimas paprastai buvo didžiojo ketverto – Rusijos, Kinijos, Irano ir Šiaurės Korėjos – provincija. Tačiau tai plinta į kitas šalis, nors „Microsoft“ tyrėjai atsisakė nurodyti, ką matė.

Kas kita yra tai, kad prie kovos prisijungia papildomų šalių, kurios nebūtinai ten buvo anksčiau, sako Jasonas Nortonas, pagrindinis MSTIC projektų vadovas. Didžiosios dvi [Rusija ir Kinija] – dabar galime sakyti, kad jos istoriškai tai tęsia dar gerokai prieš 2016 m. rinkimus. Tačiau dabar matote, kad kitos šalys tai daro – kiša ir stumdo minkštą pilvuką, kad žinotų, kokios dalys turėtų turėti įtakos ar įtakos ateityje.

Laukas darosi perpildytas, sutinka Dallmanas. Aktoriai mokosi vieni iš kitų. Mokydamiesi taktikos iš garsesnių vardų, jie tai apverčia ir naudojasi.

Artėjantys rinkimai skiriasi ir tuo, kad niekas nenustemba pamatęs šią piktybinę veiklą. Atėjus 2016 m., Rusijos kibernetinė veikla buvo sutikta kolektyviniu priblokštu naivumu, prisidėjusiu prie paralyžiaus ir neaiškios reakcijos. Ne šį kart.

Skirtumas iš tikrųjų priklauso nuo to, ką mes žinome, kad nutiks, aiškina Dallmanas.

Tada tai buvo daugiau nežinoma, ir mes nebuvome tikri, kaip vystysis taktika. Dabar mes žinome; matėme modelius. Jūs matėte juos 2016 m., matėte, ką jie veikė Vokietijoje, matėte juos Prancūzijos rinkimuose – visi vadovaujasi tuo pačiu MO. 2018 m. vidurio kadencijos taip pat – mažesniu mastu, bet vis tiek matėme tuos pačius MO, tuos pačius aktorius, tą patį laiką, tas pačias technikas. Dabar, 2020 m., žinome, kad tai yra MO, kurio mes ieškome. O dabar pradėjome matyti, kad kitos šalys išeina ir pradėjo taikyti kitokią taktiką.

Nauja norma yra ta, kad pramonės kibernetinės žvalgybos parduotuvės dažniausiai pirmauja tokio pobūdžio viešojo saugumo veikloje, o vyriausybė seka.

2016 m. „CrowdStrike“ pirmą kartą ištyrė ir parodė pirštu į rusų veiklą siekiantis kištis į Amerikos rinkimus. JAV teisėsaugos ir žvalgybos bendruomenė vėliau patvirtino bendrovės išvadas ir galiausiai, po Roberto Muellerio tyrimo, apkaltino Rusijos programišius ir išsamiai išdėstė Maskvos kampaniją.

„Microsoft“, kurios bendras dydis viršija 1 trilijoną JAV dolerių, yra eilės tvarka didesnė, todėl saugos iššūkiui reikia didžiulių išteklių. O technologijų milžinas turi dar vieną puikų pranašumą: visur yra akys, ausys ir programinė įranga. Tai, kaip gali pasakyti Lambertas, yra jo supergalia.

paslėpti