Auf einen Blick: Hacker verwenden verschiedene Techniken, um sensible Daten aus Großrechnern zu extrahieren, was erhebliche Sicherheitsrisiken darstellt. Das Verständnis dieser Methoden ist entscheidend für effektive Verteidigungsstrategien.
- Gängige Werkzeuge sind SCP, FTP und IND$File für den Datentransfer.
- Kommando- und Kontrollkanäle können eingerichtet werden, um der Entdeckung zu entgehen.
- Automatisierung bei der Bedrohungserkennung und -reaktion ist für die Sicherheit von Großrechnern entscheidend.
In früheren Blogs habe ich bereits die verschiedenen Wege aufgezeigt, wie Hacker den ersten Zugang zu Ihrem Hauptrechner erhalten[1] und wie sie einen Privilegien-Eskalationsangriff durchführen, um die volle Kontrolle über das System zu erlangen. [2] Sobald ein Bedrohungsakteur den Großrechner vollständig besitzt, hat er vollständigen Zugriff auf die sensiblen Daten, die sich darauf befinden. Während Ransomware ein Szenario geschaffen hat, in dem Hacker keine Daten mehr exfiltrieren müssen, um von ihrer Cyberkriminalität zu profitieren, ist der Diebstahl sensibler Daten weiterhin ein katastrophales Risiko für Unternehmen, die mit zunehmend strafenden Geldstrafen und dem Verlust des Kundenvertrauens konfrontiert sind.
Dieser Blog konzentriert sich auf die wichtigsten Möglichkeiten, wie Hacker sensible Daten aus Ihrem Hauptrechner extrafiltrieren können. Dieses Wissen ist entscheidend, um zu verstehen, wie Sie Ihr System zunächst schützen und anomale und bösartige Aktivitäten rechtzeitig erkennen können, um auf den Datenverstoß zu reagieren. Mein Ziel ist es, Ihnen eine Antwort auf die folgenden Fragen zu geben:
- Ist das auf meinem Hauptrechner möglich?
- Habe ich für jede dieser Aktivitäten Warnhinweise für Kompromittierungsindikatoren (IOC) erstellt?
Mainframe-Datenexfiltrationstechniken
- Hacker werden die nativen Tools nutzen, die auf dem System verfügbar sind, bevor sie zu komplexeren Methoden gelangen – besonders wenn diese Tools auch unter Windows/Linux allgegenwärtig sind, wo die meisten vertrauter sind. Da der primäre Zugang zu den meisten Rechnern kompromittierte Kontodaten ist,[3] könnten Hacker diese Zugangsdaten einfach mit Secure Copy (SCP) verwenden, um die Dateien über das Secure Shell (SSH)-Protokoll zu kopieren.
- Wenn SSH nicht verfügbar ist, könnten Hacker auch das File Transfer Protocol (FTP) nutzen, um alle Dateien, auf die sie auf dem System zugreifen dürfen, einfach herunterzuladen. FTP macht es außerdem einfach, Dateien in großen Mengen hoch- und herunterzuladen und kann sogar im Job Entry System (JES)-Modus verwendet werden, um Befehle auf dem Großrechner auszuführen.
- Das nächste Werkzeug zum Übertragen von Dateien ist das Network File Share (NFS), ein verteiltes Dateisystem unter Linux, das es einem Hacker ermöglicht, das Dateisystem zu "mounten" und Dateien vom Großrechner herunterzuladen.
- Ein weiteres Dateiübertragungsprotokoll, das direkt im Großrechner integriert ist, ist IND$File, das nur eine typische TN3270-Verbindung und kompromittierte Zugangsdaten benötigt, um einfach jede Datei herunterzuladen, auf die sie zugreifen können. Dieses ist schwerer zu überwachen, da IND$FILE keinen Standard-SMF-Datensatz schreibt.
- Das letzte native Werkzeug, das Hacker als Waffe zur Datenexfiltration einsetzen könnte, ist das Network Job Entry (NJE)-Protokoll, das darauf ausgelegt ist, Befehle, Nachrichten und Jobs an mehrere Systeme in einem Netzwerk zu übertragen. Da die Systeme bereits kommunizieren, kann ein Hacker NJE nutzen, um beliebige Daten an ein separates System unter seiner Kontrolle zu senden.
- Bevor sie zu kreativ werden: Hacker haben noch eine letzte Fähigkeit, die oft übersehen wird. Sie könnten die Datensätze, die sie interessieren, ganz einfach durchsuchen und diese auf ihr persönliches System kopieren/einfügen. Dies ist natürlich auf kleinere Datenmengen oder eine enorme Geduld beschränkt, kann aber äußerst nützlich sein, wenn man kleine wertvolle Komponenten wie Benutzernamen und gehashte Passwörter für neue Konten oder Verschlüsselungsschlüssel stiehlt.
- Wenn Hacker standardisierte Dateiübertragungsmechanismen vermeiden wollen, könnten sie versuchen, ihren Command and Control (C2)-Kanal zu bauen. Dies könnte schnell mit Socket-Tools wie Netcat[4] oder fortschrittlicheren Methoden erfolgen, indem C-Code übernommen und ein eigenes Kommunikationsprotokoll kompiliert wird. Während dies die meisten typischen Tracking-Mechanismen auf dem Großrechner umgeht, sollten IOCs, die auf die Suche nach anomalen Portaktivitäten ausgelegt sind, schnell abtrünnige C2-Kanäle zum Großrechner erkennen.
- Die letzte beliebte Methode für Hacker ist es, die Dateien in einen von ihnen kontrollierten Cloud-Speichercontainer hochzuladen. Mit Java könnte ein Hacker den Großrechner schnell mit einem S3-Bucket bei Amazon verbinden und alle sensiblen Daten außerhalb der Organisation hochladen.
Alle diese Methoden auf dem Großrechner abzuschalten, ist eine nahezu unmögliche Aufgabe, wenn man bedenkt, wie wichtig viele dieser Protokolle für grundlegende Abläufe sind. Dies erfordert die Möglichkeit, das Nutzerverhalten in Echtzeit zu filtern und zu überwachen, um anomale Nutzeraktivitäten zu erkennen und letztlich die Datenexfiltration zu erkennen, bevor sie katastrophal wird. Hacker werden dies dem Security Operations Center (SOC) weiterhin erschweren, indem sie ihre Exfiltrationsaktivitäten in normalen geplanten Aktivitäten verbergen, einen großen Heist in kleinere Abschnitte aufteilen oder absichtlich Methoden verwenden, die keine normalen Protokolle hinterlassen. Diese Methoden sind nicht einzigartig für den Großrechner und werden alle im MITRE ATTCK Framework[5] beschrieben, um Ihr User Entity Behavior Analytics (UEBA)-Programm zu leiten.
Letztlich sind Sichtbarkeit und Automatisierung entscheidende Faktoren, um sicherzustellen, dass diese Angriffsformen Ihre Mainframe-Systeme nicht beeinträchtigen. Deshalb engagiert sich BMC dafür, unseren Kunden zu helfen, ein modernes Mainframe-Sicherheitsprogramm mit BMC AMI Security aufzubauen. AMI Security automatisiert Erkennung und Reaktion auf Mainframes und integriert die Plattform in die Tools und Prozesse des SOC. Wenn Sie mehr wissen möchten oder Fragen zu den Schritten zur effektiven Sicherung Ihrer Mainframe-Umgebung haben, kontaktieren Sie bitte Christopher_perry@bmc.com oder besuchen Sie BMC Software für weitere Informationen.
[1]https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/↩
[2] https://www.bmc.com/blogs/top-10-privilege-escalation-hacks-for-the-mainframe/↩
[3]https://enterprise.verizon.com/resources/reports/dbir/↩
[4] https://kellgon.com/netcat-the-hackers-swiss-army-knife/↩
Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.