Учитывая новости о взломе Google и других компаний, мне стало интересно, как компании узнают, обнаруживают и/или узнают о том, что их вообще взломали?
Конечно, если они найдут вирус/троян на компьютерах пользователей или увидят очень высокий уровень доступа к частям их системы, которые обычно не видят много трафика, если вообще видят. Но, судя по тому, что я видел в статьях, атака была довольно «изощренной», поэтому я не думаю, что хакеры изначально сделали бы свой взлом настолько очевидным.
Может быть, кто-то сможет просветить меня по поводу современных схем обнаружения/эвристик. Спасибо.
решение1
Обычно они ищут тонкие криминалистические улики, например, когда их домашняя страница меняется на баннер с надписью «P0Wned by TeH L33t Krew!! haahah1h1!! y noobs»
решение2
Успешный взлом — это тот, который остался незамеченным ;)
Системный администратор может настроитьгоршочки с медом, фиктивные компьютеры, чтобы обмануть хакеров, заставив их думать, что это настоящая система с реальными данными. В honey pot отслеживается вся активность и изучается поведение хакера, чтобы узнать больше о том, что пытается сделать хакер или вирус, чтобы помочь экспертам по безопасности выяснить, как предотвратить будущие вторжения.
Они также могут использовать автоматическиеСистемы обнаружения вторженийчтобы помочь им обнаружить подозрительную активность
решение3
Они не будут знать, хорошо ли это сделано или у них нет внутренних навыков и практики. Для обнаружения того, что был выполнен взлом, необходимо реализовать некоторые меры (я не буду здесь исчерпывающим), такие как аудит изменений файлов, сбор журналов IDS и проведение глубокого анализа с несколькими корреляциями хостов.
Более того, решительный человек наверняка, собрав как можно больше информации о цели, в первую очередь попытается использовать социальную инженерию, поскольку пользователи, как правило, являются самым слабым звеном в цепочке безопасности.
решение4
Как обнаружить это, во многом зависит от того, что именно вы обслуживаете. В качестве части нашей системы резервного копирования у меня есть скрипт, который зеркалирует веб-сайты нашей компании на внутренний сервер, передавая только то, что изменилось. В конце скрипт анализирует журналы в поисках любых изменений, добавлений или удалений и отправляет мне электронное письмо, если таковые обнаружены. Таким образом, даже если есть неочевидное изменение, я узнаю (должен?) об этом узнать. Конечно, скрипт находится на внутреннем сервере, а не на веб-сервере.