Salam, hörmətli RootLab.az oxucuları!
Ümid edirəm ki, hər biriniz yaxşısınız. Bu məqalədə birlikdə OpenEDR platforması ilə tanış olacaq, onun nə olduğunu, hansı məqsədlə istifadə edildiyini və sıfırdan necə qurulduğunu addım-addım öyrənəcəyik. Daha sonra isə laboratoriya mühitində müxtəlif əmrlər icra edərək OpenEDR-in bu fəaliyyətləri necə qeydə aldığını və onları necə analiz etdiyini praktik nümunələr üzərində birlikdə nəzərdən keçirəcəyik.
Hazırsınızsa, başlayaq!
EDR nədir?
İlk öncə EDR Endpoint Detection and Response – anlayışına nəzər salaq.
EDR son istifadəçi cihazlarının üzərinə quraşdırılan, informasiya təhlükəsizliyinin artırılmasını və məlumat sızmalarının azaldılmasını əsas məqsəd kimi qarşısına qoyan təhlükəsizlik həllərindən biridir. EDR məhsulları son istifadəçi cihazlarında baş verən bütün fəaliyyətləri (Malware hücumları, Registry analizləri, əmrlərin icrası, fayllar üzərində aparılan əməliyyatlar və s.) izləyərək bizə real vaxt rejimində qorunma təmin edir.
Sadə dillə desək, EDR kompüterinizdə baş verən hər bir vacib hadisəni izləyən və qeyd edən ağıllı bir təhlükəsizlik sistemidir. Məsələn, kompüterdə şübhəli bir proqram işə düşərsə, Registry-də dəyişiklik edilərsə, yeni bir əmr icra olunarsa və ya hər hansı fayl dəyişdirilərsə, EDR bunların hamısını qeydə alır. Əgər bu fəaliyyətlərdən hər hansı biri təhlükəli və ya şübhəli görünərsə, dərhal xəbərdarlıq edir və təhlükəsizlik mütəxəssislərinin hadisəni araşdırmasına kömək edir.
Toparlasaq, EDR bizə uç nöqtələrdə nələrin baş verdiyini daha ətraflı görmək imkanı yaradan, sistem üzərində yüksək görünürlük (Visibility) təmin edən, həyata keçirilən hücumları analiz etməyə kömək edən və insidentlər haqqında ətraflı məlumat əldə etməyimizi təmin edən bir təhlükəsizlik həllidir. Bu xüsusiyyətləri sayəsində hadisələrin səbəbini araşdırmaq, hücumun necə baş verdiyini anlamaq və gələcəkdə oxşar təhlükələrin qarşısını almaq daha asan olur.
OpenEDR nədir?
OpenEDR adından da göründüyü kimi Open Source Endpoint Detection and Response Təhdidlərinin aşkarlanması və Cavablandırılması həllidir.
Bu məhsul Xcitium platformasında tamamilə ödənişsiz şəkildə təqdim olunur. OpenEDR inkişaf etmiş və pulsuz bir uç nöqtə aşkarlama və cavablandırma həlli kimi istifadəçilərə xidmət göstərir. O, sistemlərdə baş verən hadisələri izləyərək təhlükələri aşkarlamağa və onlara operativ reaksiya verməyə kömək edir.
OpenEDR MITRE ATT&CK Framework-dən istifadə edərək real vaxt rejimində yazılmış qaydalar (Rules) və korrelyasiya (Correlation) mexanizmləri vasitəsilə təhlükələrin davranışlarını aşkar etməyə imkan yaradır.
Sadə dillə desək, OpenEDR kompüterlərdə baş verən hadisələri davamlı olaraq izləyir və bu məlumatları analiz edir. Əgər sistemdə şübhəli bir davranış və ya hücum əlaməti müşahidə olunarsa, OpenEDR bunu müəyyən edərək təhlükəsizlik mütəxəssislərinə xəbər verir. Bunun üçün isə MITRE ATT&CK Framework-də təsvir olunan hücum taktikaları və texnikalarından istifadə edir. Beləliklə, yalnız təhlükənin mövcudluğunu deyil, onun hansı üsulla həyata keçirildiyini də müəyyən etmək mümkün olur.
OpenEDR-in quraşdırılması
OpenEDR-i quraşdırmağa başlamaq üçün ilk olaraq OpenEDR-in rəsmi saytına daxil olmalıyıq.
Sayta daxil olduqdan sonra ana səhifədə yerləşən “Get Started for Free” düyməsini sıxırıq. Bu düyməyə klik etdikdən sonra sistem bizi qeydiyyat (Registration) səhifəsinə yönləndirəcək. Burada tələb olunan məlumatları dolduraraq pulsuz hesab yarada və OpenEDR platformasından istifadə etməyə başlaya bilərik.
Bu mərhələdə bizdən tələb olunan məlumatları doldururuq. Qeydiyyat tamamlandıqdan sonra göstərdiyimiz e-poçt ünvanına aktivasiya (təsdiqləmə) məktubu göndəriləcək. Həmin mail-i təsdiqləmə keçidinə (linkinə) klik etdikdən sonra hesabımız aktivləşdiriləcək və artıq OpenEDR platformasına daxil ola biləcəyik.
Sistemə uğurla daxil olduqdan sonra bizi geniş imkanlara malik və istifadəsi rahat olan bir Dashboard Bu panel vasitəsilə cihazları izləmək, təhlükəsizlik hadisələrini analiz etmək, aşkarlanan təhdidləri idarə etmək və ümumi sistem vəziyyətini rahat şəkildə müşahidə etmək mümkündür.
Növbəti addımımız OpenEDR agentini yükləmək və onu uç nöqtə (Endpoint) üzərində quraşdırmaq olacaq.
Bunun üçün Assets bölməsinə keçirik və daha sonra Device List səhifəsini açırıq. Bu bölmədə mənim agentini quraşdırdığım “testpc” adlıendpoint görünür. Sizdə isə burada öz cihazınızın adı əks olunacaq.
Agenti quraşdırmaq üçün Enroll Device düyməsinə klik etməyimiz lazımdır. Bu addımdan sonra sistem agentin yüklənməsi və quraşdırılması üçün lazım olan seçimləri bizə təqdim edəcək.
Enroll Device düyməsinə klik etdikdən sonra açılan pəncərədə sistem bizdən agenti hansı əməliyyat sistemi üzərində quraşdırmaq istədiyimizi soruşacaq. Burada Windows, Linux və macOS kimi müxtəlif platformalar üçün seçimlər təqdim olunur.
Mən bu nümunədə agenti Windows 10 əməliyyat sistemi üzərində quraşdıracağam. Buna görə də platforma olaraq Windows 10 seçimini edirəm və növbəti mərhələyə keçirik.
Lazımi seçimləri etdikdən sonra sistem agenti yükləmək üçün bizə bir keçid (link) təqdim edəcək. Bu keçid vasitəsilə agenti yükləyib onu quraşdırmaq istədiyimiz Endpoint açdıqda quraşdırma prosesi başlayacaq.Agentin quraşdırılması olduqca sadədir və standart proqram quraşdırılması kimidir. Quraşdırma pəncərəsində Next düyməsini ardıcıl olaraq sıxaraq mərhələləri tamamlaya bilərsiniz. Quraşdırma başa çatdıqdan sonra agent avtomatik olaraq OpenEDR platformasına qoşulacaq və həmin cihaz idarəetmə panelində görünməyə başlayacaq.
Quraşdırma prosesini uğurla tamamladıq. İndiyə qədər etdiklərimizi qısaca yekunlaşdırsaq, əvvəlcə OpenEDR platformasını hazırladıq, daha sonra analiz aparacağımız host üzərində OpenEDR agentini quraşdırdıq. Artıq bütün hazırlıq işləri tamamlanıb və laboratoriya mühitimiz istifadəyə hazırdır.
Növbəti mərhələdə isə host üzərində müxtəlif fəaliyyətlər (aktivitələr) həyata keçirəcəyik və OpenEDR-in bu fəaliyyətləri necə qeydə aldığını, hansı məlumatları topladığını və onları necə analiz etdiyini birlikdə nəzərdən keçirəcəyik.
İdarə etmək istədiyiniz hostu seçdikdən sonra Install or Manage Packages bölməsinə keçərək həmin host üzərinə uzaqdan EDR, MDR, Antivirus və digər təhlükəsizlik komponentlərinin agentlərini quraşdıra bilərsiniz. Bu xüsusiyyət sayəsində cihazları mərkəzləşdirilmiş şəkildə idarə etmək və əlavə təhlükəsizlik imkanlarını aktivləşdirmək mümkündür.
Yadda saxlayın ki, quraşdırdığınız agentin tam aktiv olması üçün hostun (kompüterin) yenidən başladılması (Restart) tələb olunur.
OpenEDR üzərindən komanda analizi
Bu mərhələdə OpenEDR-in icra olunan komandaları necə qeydə aldığını və analiz etdiyini birlikdə nəzərdən keçirəcəyik.
Bunun üçün əvvəlcə agentini quraşdırdığımız Windows 10 kompüterini açırıq. Daha sonra Command Prompt (cmd.exe) proqramını işə salaraq test məqsədilə bir neçə komanda icra edəcəyik. İcra etdiyimiz bu əmrlər OpenEDR agenti tərəfindən qeydə alınacaq və platformaya göndəriləcək. Növbəti addımlarda isə bu fəaliyyətlərin OpenEDR üzərində necə göründüyünü və hansı məlumatların təqdim edildiyini analiz edəcəyik.
Komandaları icra etdikdən sonra OpenEDR platformasında Security bölməsinə, daha sonra isə Alerts səhifəsinə keçirik. Burada host üzərində həyata keçirilən fəaliyyətlərlə bağlı yaradılmış logları və təhlükəsizlik hadisələrini görə bilərik.
Məsələn, bu nümunədə child_process_command_line sahəsində whoami komandasının icra olunduğunu görürük. OpenEDR bununla kifayətlənmir, eyni zamanda həmin əmrlə bağlı ətraflı məlumatları da təqdim edir. Buraya əmrin Hash dəyəri, MITRE ATT&CK çərçivəsinə əsasən aid olduğu taktika (Tactic) və texnika (Technique), icra olunan faylın yolu (File Path), komandası hansı istifadəçinin (User) işlətdiyi və digər texniki məlumatlar daxildir.
Sadə dillə desək, OpenEDR yalnız “bu komanda icra olundu” demir. O, əmrin nə vaxt icra edildiyini, kim tərəfindən işə salındığını, hansı prosesdən yarandığını, sistemdə harada yerləşdiyini və MITRE ATT&CK Framework-ə görə hansı davranışa uyğun gəldiyini də göstərir. Bu məlumatlar təhlükəsizlik mütəxəssislərinə baş vermiş hadisəni daha ətraflı araşdırmağa, şübhəli fəaliyyətləri müəyyən etməyə və mümkün hücumları daha rahat analiz etməyə kömək edir.
Burada isə işlətdiyimiz digər bir komanda olan eventvwr əmrinin icra edildiyini görürük. Bu komandaya aid bir çox detallı məlumatı da buradan görə bilərik.
İcra olunan komandaının özündən sonra hansı digər komandaları və ya prosesləri başladığını isə Process Timeline bölməsində görə bilərik.
Beləliklə, bu məqalənin də sonuna gəldik. Ümid edirəm ki, OpenEDR-in quraşdırılması və əsas analiz imkanları haqqında faydalı məlumat əldə etdiniz.
Növbəti məqaləmizdə isə OpenEDR üzərindən Malware Analizi mövzusuna toxunacağıq. Həmin məqalədə zərərli proqram nümunələrinin OpenEDR tərəfindən necə aşkarlanmasını, hansı xəbərdarlıqların (Alerts) yaradıldığını, MITRE ATT&CK uyğunluğunu və insidentlərin necə analiz edildiyini praktik nümunələr üzərində birlikdə araşdıracağıq.
Növbəti məqalədə görüşənədək!
