Com a notícia de que o Google e outros foram hackeados, fiquei me perguntando como as empresas descobrem, detectam e/ou sabem que foram hackeadas.
Claro, se eles encontrarem um vírus/trojan nos computadores dos usuários ou observarem uma taxa de acesso muito alta a partes do sistema que normalmente não recebem muito tráfego, se houver. Mas, pelo que vi nos artigos, o ataque foi bastante “sofisticado”, então não imagino que os hackers tornariam tão óbvio sua invasão em primeiro lugar.
Talvez alguém possa me esclarecer sobre os esquemas/heurísticas de detecção atuais. Obrigado.
Responder1
Geralmente procuram pistas forenses sutis; como sua página inicial sendo alterada para um banner que diz "p0Wned por TeH L33t Krew!! haahah1h1!! u noobs"
Responder2
Um hack bem-sucedido é aquele que passa despercebido ;)
Um administrador de sistema pode configurarpotes de mel, computadores fictícios para enganar os hackers, fazendo-os pensar que são um sistema real com dados reais. No pote de mel, todas as atividades são monitoradas e o comportamento do hacker é estudado para ajudar a aprender mais sobre o que um hacker ou vírus está tentando fazer para ajudar os especialistas em segurança a descobrir como evitar invasões futuras.
Eles também podem usar automáticoSistemas de detecção de intrusãopara ajudá-los a detectar atividades suspeitas
Responder3
Eles não saberão se está bem feito ou se não possuem as habilidades e práticas internas. Para descobrir que um hack foi realizado, algumas medidas (não sou exaustiva aqui) precisam ser implementadas, como auditar alterações de arquivos, coletar logs de IDS e realizar uma análise profunda com múltiplas correlações de hosts.
Além disso, uma determinada pessoa certamente, após coletar o máximo de informações possível sobre o alvo, tentará usar a engenharia social em primeiro lugar, porque os usuários geralmente são o elo mais fraco na cadeia de segurança.
Responder4
Como detectá-lo depende muito do que você está servindo. Como parte do nosso sistema de backup possuo um script que espelha os sites da nossa empresa para um servidor interno, transferindo apenas o que foi alterado. Ao final, o script analisa os logs em busca de alterações, adições ou exclusões e me envia um e-mail se houver alguma. Dessa forma, mesmo que haja uma mudança menos óbvia, eu irei (deveria?) Descobrir. É claro que o script reside no servidor interno, não no servidor web.