чтобы изолировать инцидент в случае его возникновения. Он также бу- дет варьироваться в зависимости от используемой вами модели облака. Например, если у вас есть скомпрометированная виртуальная машина в облаке, вы можете изолировать ее от других машин в иной виртуаль- ной сети и временно заблокировать доступ к ней извне.

Дляполучениядополнительнойинформацииореагированиинаинциденты в облаке мы рекомендуем прочитать «Domain 9» из Cloud Security Alliance Gui­ dance (8).

Справочные материалы

1.Можно скачать эту публикацию на странице https://nvlpubs.nist.gov/nist pubs/SpecialPublications/NIST.SP.800-61r2.pdf.

2.В соответствии с реагированием на инцидент в области компьютерной безопасности (CSIR) – публикацией 800-61R2 от Национального институ- та стандартов и технологий США событие – это «любое наблюдаемое явле- ние в системе или сети».Более подробная информация на странице https:// nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf.

3.Больше информации об этом патче на странице https://www.microsoft.com/ en-us/msrc?rtc=1.

4.Больше информации на эту тему на странице https://blog.cloudsecurity- alliance.org/2014/11/24/shared-responsibilities-for-security-in-the-cloud-part-1/.

5.В случае с Microsoft Azure прочтите этот документ для получения дополни- тельной информации о реагировании на компьютерные инциденты в обла-

ке: https://gallery.technet.microsoft.com/Azure-Security-Response-in-dd18c678.

6.В случае с Microsoft Online Service можно использовать эту форму: https:// portal.msrc.microsoft.com/en-us/engage/cars.

7.Посмотрите, как один из авторов книги, Юрий Диогенес, демонстриру- ет способ использования Центра безопасности Azure для расследования компьютерного инцидента в облаке: https://channel9.msdn.com/Blogs/Azure-

Security-Videos/Azure-Security-Center-in-Incident-Response.

8.Можно скачать этот документ на странице https://cloudsecurityalliance.org/ artifacts/security-guidance-v4/.

Резюме

В этой главе вы узнали о процессе реагирования на компьютерные инциден- ты и о том, как он вписывается в общую задачу повышения уровня безопас- ности. Вы также узнали о важности наличия реагирования на инциденты для быстрого выявления и реакции на инциденты в области информационной безопасности. Планируя каждую фазу жизненного цикла реагирования, вы создаете целостный процесс, который можно применять ко всей организа-

этого, вы можете включить настраиваемые области, которые имеют отноше- ние к вашему собственному бизнесу. Вы также познакомились с ключевыми аспектами обработки инцидентаи важностьюдеятельности послеинцидента, включая полнуюдокументацию по полученным урокам и использование этой информации для улучшения общего процесса.Наконец,вы узнали об основах реагирования на инцидент в облаке и о том, как это может повлиять на ваш текущий процесс.

В следующей главе вы поймете, как мыслит злоумышленник, познакоми- тесь с различными этапами атаки и тем, что обычно происходит на каждом из этих этапов. Это важная концепция для остальной части книги, учитывая, что в упражнениях по атаке и защите в качестве основы будет использоваться жизненный цикл атаки (kill chain).

рые отправляются по сети. Этот инструмент может провести инвентаризацию устройств, подключенных к целевой сети, определить открытые порты, кото- рые могут быть использованы, и отслеживать время работы хостов в сети.

Этот инструмент также может выяснять сервисы, работающие на хостах сети, идентифицировать операционные системы, используемые хостами, и определять правила брандмауэра, применяемые в сети. В NMap есть интер- фейс командной строки, но существует аналогичная утилита с графическим интерфейсом пользователя под названием Zenmap. Zenmap – это инструмент для начинающих, который проще в использовании и поставляется со всеми функциями NMap. Однако функции перечислены в меню, поэтому пользова- телям не нужно запоминать команды,как в случае с NMap.Zenmap был создан теми же разработчиками, принимавшими участие в работе над NMap, только для того, чтобы обслуживать пользователей, которые хотели бы иметь графи- ческий интерфейс своих инструментов сканирования для упрощенного про- смотра результатов.

NMap работает в основном с помощью команд, предоставляемых пользова- телем в интерфейсе командной строки.Пользователи начинаютсо сканирова- ния системы или сети, чтобы выявить уязвимости. Распространенный способ сделать это – набрать одну из следующих команд:

#nmap www.targetsite.com #nmap 255.250.123.189

В случае с предыдущими командами целевой сайт – это сайт, который вы хотите сканировать с помощью NMap. Он работает либо с URL-адресом сай- та, либо с IP-адресом. Эта базовая команда в основном используется в соче- тании с другими командами, такими как TCP SYN Scan and Connect, UDP Scan

иFIN Scan. У них есть свои эквивалентные фразы команды. На рис. 3.1 пока- зан скриншот NMap, сканирующего два IP-адреса. На скриншоте просматри-

ваются IP-адреса 205.217.153.62 и 192.168.12.3. Обратите внимание, что NMap

показывает результаты сканирования, давая открытые или закрытые порты

ислужбы, которые они позволяют запускать.

Metasploit

Это фреймворк для взлома на базе Linux, который хакеры использовали бес- численное количество раз. Это связано с тем, что Metasploit состоит из много- численных хакерских утилит и фреймворков, созданных для осуществления различных типов атак на цель. Этот инструмент привлек внимание профес- сионалов в области кибербезопасности и сегодня используется для обучения этичному взлому. Фреймворк предоставляет своим пользователям жизненно важнуюинформациюомногочисленныхуязвимостяхиметодахэксплуатации. Помимоиспользованияхакерами,этотфреймворктакжеприменяетсядлятес­ тирования проникновения, чтобы убедиться, что организации защищены от методов проникновения, которые обычно используют злоумышленники.

применяются в данной системе. Он сравнивает свои результаты с теми, что были сохранены в базе данных, чтобы увидеть, есть ли совпадения.

John the Ripper взламывает пароли за два шага. Вначале он определяет тип шифрования пароля. Это может быть RC4, SHA, MD5 или другие распростра- ненные алгоритмы шифрования. А также смотрит на то, применялась ли при шифровании «соль».

«Соль»–дополнительные символы,добавленные к исходномутексту перед обработкой, чтобы было труднее восстановить исходный пароль.

На втором этапе утилита пытается восстановить исходный пароль, сравни- ваяхешированныйпарольсомножествомдругиххешей,хранящихсявегобазе данных.На рис.3.4 показан скриншотJohn the Ripper,который восстанавлива- ет пароль из зашифрованного хеша.

Рис.3.4    Скриншот,на котором John the Ripper восстанавливает зашифрованный пароль

THC Hydra

Похожа на ранее рассмотренную утилиту, но с той лишь разницей, что Hydra работает онлайн, а John the Ripper работает в автономном режиме. Однако Hydra­ более мощная и, следовательно, более популярная среди хакеров. Она доступнадля ОС Windows,Linux и macOS X и обычно применяетсядля быстро- го проникновения в сеть. Использует словарные атаки и полный перебор для атаки на страницы входа.