Reactive: Blocking Web Artifacts
Extracted from Phishing Analysis(2).pdf - source PDF page(s) 132-136.
Les sites malveillants présentent un risque énorme pour les employés et doivent être rapidement neutralisés afin que même si un employé clique sur un lien, sa demande ne soit pas autorisée à quitter le réseau de l'entreprise. Nous pouvons sécuriser les sites malveillants pour les employés en mettant en œuvre des règles au sein du proxy Web, un appareil qui se trouve sur le périmètre et qui autorise ou interdit les connexions. Pensez aux écoles qui bloquent des jeux, des sites Web ou du contenu pour adultes. C'est le proxy Web qui fait sa magie. Nous pouvons également utiliser des blocages de pare-feu périmétrique pour empêcher les employés de se connecter à une adresse IP malveillante, mais cela est généralement rare et un blocage de proxy suffira à empêcher toute connexion.
Proxy Web
Il existe deux types de blocs que nous voulons créer sur un proxy Web : un bloc d'URL et un bloc de domaine.
Blocs d'URL
Les blocs d'URL sont extrêmement spécifiques et ne bloquent que l'URL qui a été fournie. Si nous avons un collecteur d'informations d'identification qui utilise l'URL « hxxp : //elephantsanctuary [.] com/index/2019/hgasdf/11/outlook/owa.php ? » et nous bloquons cela sur le proxy Web, alors que cela bloquera l'URL utilisée dans les e-mails observés (cela est efficace car l'URL ne peut pas être modifiée une fois les e-mails envoyés). Si les attaquants lancent une autre attaque vers les mêmes cibles avec une URL légèrement modifiée utilisant le même domaine, ce blocage devient inefficace.
Parfois, les URL sont générées dynamiquement pour des destinataires spécifiques. Par conséquent, un blocage d'URL ne neutralise la menace que pour un seul destinataire. Par exemple, les URL qui renseignent automatiquement l'adresse e-mail pour chaque e-mail de phishing (l'URL se terminera par « = john.smith@domain.com » ou similaire).
Nous pouvons bloquer les URL à un moment précis, afin d'être plus efficaces et de détecter davantage d'URL potentiellement malveillantes. Dans l'exemple ci-dessus (« hxxp : //elephantsanctuary [.] com/index/2019/hgasdf/11/outlook/owa.php ? ») nous pourrions bloquer le premier répertoire qui semble suspect, dans ce cas, il s'agirait de « hgasdf ». En bloquant « domain [.] com/index2019/hgasdf », tout ce qui se trouve après ce répertoire sera bloqué et la connexion ne sortira pas du réseau.
Ainsi, lorsque vous choisissez un bloc d'URL, déterminez si l'URL complète est statique et fonctionnerait pour tous les destinataires, ou s'il existe un répertoire manifestement malveillant dans lequel le bloc d'URL peut se terminer.
Blocs de domaine
Les blocages de domaines empêchent l'accès à l'intégralité d'un domaine. Si nous voulions bloquer Google.com (je vous en prie, mon Dieu, ne le faites jamais), cela empêcherait toute requête Web d'être envoyée à Google, y compris les sous-domaines ou les URL. Pour reprendre l'exemple cidessus, s'il est découvert que le domaine a été créé dans une intention purement malveillante ou s'il a été compromis et que rien ne justifie la visite du site par des employés, nous pouvons bloquer l'intégralité du domaine. Dans ce cas, il s'agirait de « elephantsanctuary [.] com ». Cela rendrait inopérantes les attaques futures utilisant le même domaine, mais de nouvelles URL, car le trafic vers ce domaine est déjà interdit et ne quittera jamais l'organisation.
Blocage du DNS
Alors que les pare-feux et les proxys constituent la méthode standard pour bloquer l'accès à des ressources sur Internet à partir d'un réseau privé, le blackholing du DNS peut être utilisé comme mesure de protection, mais également comme mesure éducative. Le blackholing consiste à créer une fausse entrée DNS afin que si un employé essaie d'accéder à « hxxp : //thisisreallymalicious.com », il soit en fait redirigé vers un autre site. Si une entreprise est touchée par une campagne à grande échelle et qu'un grand nombre d'employés reçoivent le même e-mail de phishing contenant une URL, le blocage du domaine (le cas échéant) peut s'accompagner d'un trou noir dans le DNS. Ainsi, si les utilisateurs cliquent sur le lien, il redirige vers une page de destination sécurisée, leur indiquant qu'ils viennent de cliquer sur une URL malveillante. Des alertes SIEM ou EDR peuvent également être générées pour tous les utilisateurs qui établissent une connexion sortante vers le domaine blackhole, afin qu'ils puissent être mis en évidence pour une formation supplémentaire de sensibilisation à la sécurité.
Pare-feu
Lorsque plusieurs sites malveillants sont hébergés sur la même adresse IP, s'il n'existe aucune ressource légitime à laquelle l'entreprise aurait besoin d'accéder pour fonctionner sur cette adresse IP, nous pouvons bloquer ce serveur pour empêcher l'accès à l'un des sites qu'il contient. Il s'agit d'une mesure extrême qui n'est généralement pas utilisée en cas de phishing. Elle est souvent utilisée pour bloquer les adresses IP qui scannent ou attaquent l'organisation. Selon le concept de « pyramide de la douleur », que nous aborderons dans la section Intelligence opérationnelle du domaine Threat Intelligence, les adresses IP constituent le deuxième indicateur le plus facile à modifier pour les acteurs malveillants. Il est donc probable que les blocages d'adresses IP seront contrés simplement en utilisant une nouvelle adresse IP, rendant ainsi le blocage inutile.
Prendre la décision
La première chose à prendre en compte est de savoir si le domaine a été créé pour une activité purement malveillante ou a-t-il été compromis ? (Nous en avons parlé plus tôt. Utilisez les recherches
WHOIS pour connaître l'âge du domaine, utilisez-les URL2PNG pour consulter le domaine racine et voir s'il s'agit d'un site légitime, et vérifiez les antécédents de Google).
Si le domaine a été créé dans un but purement malveillant (jeune âge, absence de contenu légitime, présence de contenu malveillant), vous disposez d'une justification suffisante pour bloquer le domaine sur le proxy Web. Le site est malveillant et les employés n'ont aucune raison légitime de le visiter. Cela représente un risque pour l'entreprise. Limitez le risque en le bloquant.
Si le domaine a été compromis, vous devez décider si les employés auront besoin de consulter ce domaine à des fins professionnelles. Si ce n'est pas le cas, le domaine du site peut être bloqué sur le proxy Web. Le site présente des failles de sécurité et a été repris par des pirates informatiques. Si aucun employé n'a besoin d'y accéder, son blocage n'aura aucun impact négatif.
Si le domaine a été compromis et que les employés peuvent avoir besoin de visiter le site, vous devez demander un blocage d'URL et vous assurer que l'URL est adaptée au type d'attaque observé. Pouvez-vous bloquer l'URL complète ? Devez-vous supprimer quelques répertoires pour inclure d'autres pages malveillantes que le site peut contenir ?