Sieci komputerowe
Symptomy trzeba łączyć z kontekstem, telemetrią z kilku źródeł i kontrolą stanu systemu. Pojedynczy alert jest wskazówką do weryfikacji, a nie pewnym dowodem ataku.
Cele lekcji
Model analizy
Zdarzenie bezpieczeństwa to obserwacja wymagająca oceny. Ten sam symptom może wynikać z ataku, błędu konfiguracji, awarii, testu administratora albo zwykłego wzrostu ruchu. Najpierw zabezpiecz dane, zapisz czas i punkt obserwacji, a następnie porównaj kilka niezależnych źródeł.
Prewencja zmniejsza prawdopodobieństwo lub skutek zdarzenia, lecz nie daje gwarancji. Segmentacja, uwierzytelnianie, aktualizacje, szyfrowanie, monitoring i przygotowany proces reakcji uzupełniają się. Żaden pojedynczy mechanizm nie chroni przed wszystkimi zagrożeniami.
Usługi i tożsamość
| Zagrożenie | Na czym polega i jakie aktywa obejmuje | Możliwe symptomy | Źródła danych | Prewencja | Po wykryciu | Ograniczenia wnioskowania |
|---|---|---|---|---|---|---|
| Rozpoznanie i skanowanie portów | Systematyczne sprawdzanie hostów i usług; ujawnia powierzchnię ataku, wersje i topologię. | Wiele krótkich prób do różnych hostów lub portów, powtarzalny wzorzec połączeń. | Firewall, NIDS, NetFlow/IPFIX, logi hostów i zatwierdzony harmonogram skanów. | Minimalizacja ekspozycji, filtrowanie, aktualna inwentaryzacja i autoryzowane skany własne. | Potwierdź źródło i zgodę, ogranicz dostęp, zachowaj logi, popraw zbędną ekspozycję. | Monitoring, skaner podatności i diagnostyka administratora mogą wyglądać podobnie; brak alertu nie wyklucza skanu. |
| Odgadywanie i łamanie haseł | Wielokrotne próby uwierzytelnienia online albo próby odzyskania haseł z przejętych skrótów; zagrożone są konta i dane. | Seria nieudanych logowań, próby dla wielu kont, logowanie z nietypowego miejsca lub o nietypowej porze. | Logi uwierzytelniania, dostawca tożsamości, VPN, aplikacja, EDR i SIEM. | MFA odporne na phishing, unikalne hasła, menedżer haseł, ograniczanie prób i bezpieczne przechowywanie skrótów. | Zabezpiecz konto, unieważnij sesje, zmień dane uwierzytelniające, sprawdź zakres i powiadom właściciela. | Pomyłki użytkownika, stare urządzenie lub źle skonfigurowana usługa także generują nieudane logowania. |
Ethernet, ARP i DHCP
| Zagrożenie | Na czym polega i jakie aktywa obejmuje | Możliwe symptomy | Źródła danych | Prewencja | Po wykryciu | Ograniczenia wnioskowania |
|---|---|---|---|---|---|---|
| ARP spoofing / ARP poisoning | Fałszywe informacje ARP zmieniają powiązanie IP–MAC; zagrożone są ruch lokalny, brama i dostępność. | Nagła zmiana MAC dla stałego IP, duża liczba odpowiedzi ARP, duplikat adresu albo przerwy w łączności. | Tabela ARP hosta i przełącznika, DAI, logi switcha, Wireshark oraz inwentaryzacja IP–MAC. | DHCP Snooping z DAI, segmentacja, kontrola portów oraz szyfrowanie protokołów wyższych warstw. | Odizoluj podejrzany port, zachowaj mapowania i pakiety, zweryfikuj DHCP oraz poprawność konfiguracji. | Wymiana urządzenia, failover bramy, wirtualizacja lub prawidłowa zmiana karty także zmieniają MAC. |
| Man-in-the-middle (MITM / AiTM) | Pośrednik przechwytuje lub modyfikuje komunikację; zagrożone są poufność, integralność i tożsamość stron. | Ostrzeżenia certyfikatu, zmiana trasy lub bramy, anomalie ARP/DNS i niespójne odpowiedzi. | Logi TLS i aplikacji, ARP, DNS, firewall, NIDS, trasa oraz porównanie certyfikatu z zaufanym źródłem. | TLS z prawidłową walidacją, VPN, bezpieczne Wi-Fi, ochrona ARP/DHCP i uwierzytelnianie stron. | Przerwij ryzykowną sesję, zabezpiecz dane, sprawdź certyfikaty i mapowania, zmień narażone dane uwierzytelniające. | Proxy firmowe, inspekcja TLS, portal captive i zmiana trasy mogą być legalne; potrzebny jest kontekst konfiguracji. |
| MAC flooding | Nadmierna liczba źródłowych MAC może przepełniać lub destabilizować tablicę przełącznika; zagrożone są dostępność i segment L2. | Szybki wzrost liczby MAC na porcie, częsty flooding nieznanego unicastu, MAC flapping i obciążenie switcha. | Tablica MAC, liczniki i logi portów, telemetryka przełącznika, SPAN w kontrolowanym punkcie. | Port Security, limity MAC, segmentacja, Storm Control oraz wyłączanie nieużywanych portów. | Ogranicz lub wyłącz źródłowy port, zachowaj liczniki, sprawdź pętlę i legalne urządzenia za portem. | Telefon IP z komputerem, hypervisor albo uplink mogą prawidłowo prezentować wiele MAC; przepełnienie zależy od platformy. |
| Fałszywy serwer DHCP | Nieuprawniony serwer odpowiada klientom i może podać błędną bramę lub DNS; zagrożona jest konfiguracja hostów i ruch. | Różni DHCP Server Identifier, nietypowa brama lub DNS, rozbieżne dzierżawy i problemy wielu klientów. | Przechwycenie DORA, logi DHCP, konfiguracja klienta, DHCP Snooping i logi przełącznika. | DHCP Snooping, zaufane wyłącznie łącza do legalnego serwera, NAC i kontrola portów. | Odłącz nieuprawnione urządzenie, odnowienia wykonuj kontrolowanie, sprawdź dzierżawy i zasięg wpływu. | Prawidłowy serwer zapasowy lub relay może mieć inny adres; sama pierwsza odpowiedź nie dowodzi nadużycia. |
| DHCP starvation | Masowe żądania mogą wyczerpać pulę dzierżaw; zagrożona jest dostępność konfiguracji IP dla klientów. | Nagłe zajęcie puli, wiele nowych identyfikatorów klientów lub MAC i brak adresów dla legalnych urządzeń. | Logi i statystyki serwera DHCP, DHCP Snooping, liczniki portów i SIEM. | Ograniczanie tempa DHCP, Port Security, 802.1X/NAC, monitoring wykorzystania puli. | Ogranicz port, zabezpiecz logi, zwolnij fałszywe dzierżawy dopiero po analizie i przywróć usługę kontrolowanie. | Duże wdrożenie urządzeń lub zbyt mała pula daje podobny efekt; nie usuwaj dzierżaw bez potwierdzenia. |
DNS, DoS i DDoS
| Zagrożenie | Na czym polega i jakie aktywa obejmuje | Możliwe symptomy | Źródła danych | Prewencja | Po wykryciu | Ograniczenia wnioskowania |
|---|---|---|---|---|---|---|
| DNS spoofing / DNS cache poisoning | Fałszywa odpowiedź lub zatruty cache kieruje nazwę pod niewłaściwy adres; zagrożone są sesje, dane i zaufanie do nazw. | Różne odpowiedzi zależnie od resolvera, nieoczekiwany adres, błędy certyfikatu lub nietypowy TTL. | Logi resolvera, odpowiedzi z kilku zaufanych punktów, DNSSEC, firewall, NIDS i historia zmian strefy. | Zaufane resolvery, aktualizacje, kontrola zmian, DNSSEC tam, gdzie jest wdrożony, oraz prawidłowa walidacja TLS. | Odizoluj wadliwy resolver, zabezpiecz logi, usuń wpis zgodnie z procedurą, zweryfikuj strefę i wpływ na klientów. | CDN, split DNS, geolokalizacja i cache mogą prawidłowo zwracać różne adresy; DNSSEC nie szyfruje zapytań. |
| DoS i DDoS | Jedno lub wiele źródeł zużywa łącze, stan urządzenia albo zasoby aplikacji; zagrożona jest dostępność. | Wzrost ruchu i opóźnień, utrata pakietów, wyczerpanie sesji, CPU lub kolejek oraz niedostępność usługi. | NetFlow/IPFIX, firewall, load balancer, serwer, monitoring operatora, metryki aplikacji i syntetyczne testy. | Limity, filtrowanie, CDN/usługa ochrony DDoS, skalowanie, redundancja i procedura współpracy z operatorem. | Aktywuj plan, chroń usługi krytyczne, skontaktuj operatora, zachowaj próbki i ogranicz ruch możliwie blisko źródła. | Kampania marketingowa, aktualizacja lub awaria zależności może dać podobne objawy; blokada może odciąć legalnych klientów. |
Radio i użytkownik
| Zagrożenie | Na czym polega i jakie aktywa obejmuje | Możliwe symptomy | Źródła danych | Prewencja | Po wykryciu | Ograniczenia wnioskowania |
|---|---|---|---|---|---|---|
| Rogue access point | Nieautoryzowany punkt dostępowy tworzy niekontrolowaną drogę do sieci; zagrożone są segmentacja i dane. | Nowy BSSID lub radio, nieznany sprzęt na porcie, obcy DHCP albo nietypowy ruch bezprzewodowy. | Kontroler WLAN/WIDS, skan radiowy, LLDP, tablica MAC, NAC i inwentaryzacja. | 802.1X/NAC, kontrola portów, inwentaryzacja AP, segment zarządzający i regularne przeglądy radiowe. | Ustal lokalizację i właściciela, odizoluj dopiero po potwierdzeniu, sprawdź zakres połączeń i zmiany konfiguracji. | Hotspot pracownika, sąsiednia firma lub tymczasowy AP testowy mogą być widoczne bez dostępu do chronionej sieci. |
| Evil twin | Punkt podszywa się pod zaufaną nazwę Wi-Fi, by skłonić użytkownika do połączenia; zagrożone są sesje i dane logowania. | Znany SSID z innym BSSID lub zabezpieczeniem, ostrzeżenia certyfikatu i częste rozłączenia. | WIDS, profil klienta, lista BSSID kontrolera, logi 802.1X i zgłoszenia użytkowników. | WPA2/WPA3-Enterprise z walidacją certyfikatu, zarządzane profile, wyłączenie automatycznego łączenia i szkolenia. | Rozłącz klienta, nie akceptuj ostrzeżeń certyfikatu, zapomnij błędną sieć, sprawdź sesje i zgłoś zespołowi. | Wiele legalnych AP ma ten sam SSID; różny BSSID jest normalny w sieci wielopunktowej. |
| WPS | Uproszczone dołączanie może osłabiać kontrolę dostępu, zwłaszcza przy ryzykownym lub starym trybie PIN. | Nieoczekiwane próby rejestracji, nowe klienty albo aktywny WPS mimo polityki. | Konfiguracja AP/kontrolera, logi rejestracji i inwentaryzacja klientów. | Wyłączenie WPS, jeśli nie jest potrzebny, aktualne oprogramowanie i silne mechanizmy WPA2/WPA3. | Wyłącz funkcję, usuń nieznanych klientów, zmień dane dostępu, sprawdź konfigurację i zasięg zdarzenia. | Sama obecność przycisku nie potwierdza aktywnej funkcji; zachowanie zależy od urządzenia i implementacji. |
| Phishing i socjotechnika | Manipulacja nakłania do ujawnienia informacji, uruchomienia pliku, wejścia na fałszywą stronę lub wykonania płatności. | Presja czasu, nietypowa domena, prośba o sekret lub zmianę płatności, nieoczekiwany załącznik i obejście procedury. | Zgłoszenie użytkownika, brama pocztowa, nagłówki wiadomości, DNS, proxy, EDR oraz logi tożsamości. | Procedury weryfikacji drugim kanałem, MFA odporne na phishing, filtry, szkolenia i ograniczone uprawnienia. | Nie odpowiadaj, zgłoś wiadomość, zabezpiecz oryginał, zablokuj artefakty po weryfikacji i sprawdź konta dotkniętych osób. | Nietypowa wiadomość nie zawsze jest oszustwem; nie kontaktuj podejrzanego nadawcy kanałem wskazanym w wiadomości. |
Analiza przypadku
W biurze pracownik zgłasza ostrzeżenie certyfikatu. W tym samym czasie monitoring widzi zmianę mapowania IP–MAC bramy, a resolver rejestruje nietypowe odpowiedzi dla jednej domeny. Zespół nie ogłasza od razu MITM: porównuje stan przełącznika, DHCP, ARP, DNS, certyfikat i zatwierdzone prace administracyjne.
Jeżeli zmiana MAC wynika z legalnego przełączenia klastra, a DNS zwraca adres nowego CDN, zdarzenia mogą być prawidłowe. Jeśli mapowanie pochodzi z portu użytkownika, DHCP wskazuje obcą bramę, a certyfikat nie buduje zaufanego łańcucha, kilka zgodnych źródeł uzasadnia eskalację i izolację portu.
Granice ochrony
Kontrola jakości
Sprawdź rozumienie
Praca własna
Wybierz trzy zagrożenia z różnych obszarów: L2, usługę sieciową oraz użytkownika. Dla każdego przygotuj kartę: aktywo, obserwacja, dwie alternatywne hipotezy, co najmniej trzy źródła danych, zabezpieczenie prewencyjne, bezpieczna reakcja i kryterium zamknięcia. Nie wykonuj ataku ani prób na publicznych systemach.
Praktyka
Najważniejsze wnioski
Dalsza nauka
Dalsza nauka