Starbound Academy

Лишний файл на сервере

Академия Starbound · Defense Engineering · Около 6 минут

Совет: нажмите кнопку «🔍 Линза» внизу — и текст станет крупнее.

Сокращения: NSA (National Security Agency) — Агентство национальной безопасности; ASD (Australian Signals Directorate) — управление радиотехнической разведки; MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — открытая база приёмов атакующих.

Атакующий может оставить на веб-сервере свой файл-«чёрный ход»; неожиданный новый файл в папке сайта — тревожный знак.

Уровень 1. Юные защитники (8–14 лет)

  1. Веб-сервер — это компьютер, который показывает сайт всем в интернете.
  2. Злоумышленник может тайно положить на такой сервер свой файл, чтобы потом снова и снова входить туда, как через потайную дверь.
  3. Суперсила защитника: замечать новый файл в папке сайта, которого там не ждали.

Уровень 2. Средний уровень: что такое «чёрный ход» на сервере

  1. Что это. Такой файл называют «веб-шелл»; он даёт атакующему постоянный доступ к серверу.
  2. Ворота дальше. Через такой сервер атакующий может пробираться дальше, во внутреннюю сеть.
  3. Как его заметить. Неожиданный новый файл в папке сайта — один из признаков.

Уровень 2+. Полупрофи (Defense Engineering): признаки и защита

  1. Второй признак: программа сервера начинает вести себя необычно, например запускает программы, которые обычному сайту не нужны.
  2. Защита: менять папку сайта должны только те, кому это действительно разрешено; само веб-приложение не должно иметь права туда писать.
  3. Мини-проект: нарисуйте схему «интернет → сервер сайта → внутренняя сеть» и отметьте, где защитник может заметить лишний файл.

Уровень 3. Старшее поколение: чужой ключ в замке

  1. Сайт хранится на компьютере-сервере. Злоумышленник может подложить туда свой файл и пользоваться им как запасным ключом от двери.
  2. Через такой «ключ» можно пройти и дальше, в другие компьютеры той же организации.
  3. Поэтому новый файл, которого никто не ждал, — повод насторожиться.

Занятие: «линза» и две папки

  1. Распечатайте два выдуманных списка файлов «папки сайта»: «вчера» и «сегодня». В списке «сегодня» добавьте один лишний файл.
  2. Наведите «линзу» на оба списка и найдите файл, которого раньше не было.
  3. Обсудите: неожиданный новый файл в папке сайта — тревожный знак.
  4. Только тренировка: выдуманные имена файлов, без настоящих серверов.

Памятка для печати

  1. Лишний файл на сервере может быть «чёрным ходом».
  2. Неожиданный новый файл в папке сайта — тревожный знак.
  3. Сервер запускает странные программы — тоже знак.
  4. Менять папку сайта — только тем, кому разрешено.

Викторина

  1. Что даёт атакующему веб-шелл? Постоянный доступ к серверу.
  2. Какой файл в папке сайта должен насторожить? Неожиданный новый.
  3. Кто должен иметь право менять папку сайта? Только те, кому это разрешено.

Источники

  1. NSA & ASD: Detect and Prevent Web Shell Malware (April 2020)
  2. MITRE ATT&CK, T1505.003: Web Shell

Узнать больше: Веб-шелл (Wikipedia)

С заботой, команда Starbound