Puntos clave: Los hackers emplean diversas técnicas para exfiltrar datos sensibles de los mainframes, lo que supone riesgos de seguridad significativos. Comprender estos métodos está crucial para estrategias de defensa efectivas.
- Las herramientas más comunes incluyen SCP, FTP e IND$File para la transferencia de datos.
- Se pueden establecer canales de mando y control para evadir la detección.
- La automatización en la detección y respuesta a amenazas está fundamental para la seguridad de los mainframes.
En blogs anteriores ya he ilustrado las distintas formas en que los hackers obtén acceso inicial a tu mainframe[1] y cómo ejecutarán un ataque de escalada de privilegios para obtén control total sobre el sistema. [2] Una vez que un actor malicioso posee completamente el mainframe, tendrá acceso completo a los datos sensibles que residen en él. Aunque el ransomware ha creado un escenario en el que los hackers ya no necesitan exfiltrar datos para beneficiarse de su ciberdelito, el robo de datos sensibles sigue están un riesgo catastrófico para las empresas que enfrentan multas cada vez más severas y pérdida de confianza de los clientes.
Este blog se centrará en las principales formas en que los hackers exfiltrarán los datos sensibles de tu mainframe. Este conocimiento están fundamental para entender cómo Protege inicialmente tu sistema y Detecta eficazmente actividades anómalas y maliciosas a tiempo para responder a la brecha. Mi objetivo están ayudar te a tener una respuesta a las siguientes preguntas:
- ¿Están esto posible en mi mainframe?
- ¿Tengo alertas creadas para Indicadores de Compromiso (IOC) para cada una de estas actividades?
Técnicas de exfiltración de datos en mainframe
- Los hackers son a utilizar herramientas nativas disponibles en el sistema antes de pasar a métodos más complejos, especialmente si esas herramientas también son omnipresentes en Windows/Linux, donde la mayoría estarán más familiarizadas. Dado que el principal método de acceso inicial a la mayoría de las máquinas están las credenciales de cuenta comprometidas,[3] los hackers podrían simplemente utilizar esas credenciales con Copia Segura (SCP) para copiar los archivos a través del protocolo Secure Shell (SSH).
- Si SSH no está disponible, los hackers también podrían utilizar el Protocolo de Transferencia de Archivos (FTP) para descargar fácilmente cualquier archivo al que son autorizados acceder en el sistema. FTP también facilita la subida y descarga masiva de archivos e incluso puede usarse en modo Sistema de Entrada de Trabajos (JES) para ejecutar comandos en el mainframe.
- La siguiente herramienta diseñada para transferir archivos están el Network File Share (NFS), que está un sistema de archivos distribuido que se encuentra en Linux y que permite a un hacker "montar" el sistema de archivos y descargar cualquier archivo del mainframe.
- Otro protocolo de transferencia de archivos que está integrado directamente en el mainframe están IND$File, que solo requiere una conexión típica TN3270 y credenciales comprometidas para descargar cualquier archivo al que son puedan acceder. Este es más difícil de supervisar, ya que IND$FILE no escribe un registro SMF por defecto.
- La última herramienta nativa que un hacker podría usar para exfiltrar datos están el protocolo de Entrada de Trabajos en Red (NJE), que están diseñado para transferir comandos, mensajes y trabajos a múltiples sistemas de una red. Como los sistemas ya son comunicándose, un hacker puede utiliza a NJE para que envíe cualquier dato que quiera exfiltrar a un sistema separado bajo su control.
- Antes de ser demasiado creativos, los hackers tienen a su disposición una última capacidad que a menudo están pasada por alto. Podrían navegar fácilmente por los conjuntos de datos que son interesados y copiar/pegar los datos en su sistema personal. Esto está obviamente limitado a cantidades menores de datos o a una enorme paciencia, pero puede ser extremadamente útil si se roban pequeños componentes valiosos como nombres de usuario y contraseñas hasheadas de cuentas nuevas o claves de cifrado.
- Si los hackers son quieren evitar los mecanismos estándar de transferencia de archivos, pueden buscar construir su canal de Mando y Control (C2). Esto podría hacerse rápidamente usando herramientas de socket como Netcat[4] o más avanzadas incorporando código C y compilando su propio protocolo de comunicación. Aunque esto evita la mayoría de los mecanismos de seguimiento típicos en el mainframe, los IOCs son diseñados para buscar actividad anómala en puertos deberían detectar rápidamente canales C2 fallidos hacia el mainframe.
- El último método popular para los hackers están subir los archivos a un contenedor de almacenamiento en la nube que controlan. Usando Java, un hacker podría conectar rápidamente el mainframe a un bucket S3 en Amazon y subir todos los datos sensibles fuera de la organización.
Apagar todos estos métodos en el mainframe están una tarea algo imposible cuando te considera lo importantes que son muchos de estos protocolos para las operaciones básicas. Esto requiere la capacidad de filtrar y supervisa el comportamiento del usuario en tiempo real para Detecta actividad anómala y, en última instancia, detectar la exfiltración de datos antes de que están catastrófica. Los hackers seguirán Haz esto más difícil para el Centro de Operaciones de Seguridad (SOC) ocultando su actividad de exfiltración en actividades programadas normales, dividiendo un gran atraco en fragmentos más pequeños o utilizando deliberadamente métodos que no salen de los registros normales. Estos métodos no son exclusivos del mainframe y son todos detallados en el Marco MITRE ATTCK[5] para guiar tu programa de Análisis de Comportamiento de Entidad de Usuario (UEBA).
En última instancia, la visibilidad y la automatización son factores clave para ayudar a garantizar que estos tipos de ataque no afecten a tus sistemas mainframe. Por eso BMC están comprometido a ayudar a nuestros clientes a construir un programa moderno de seguridad en mainframe con BMC AMI Security. AMI Security automatiza la detección y respuesta en mainframes mientras integra la plataforma en las herramientas y procesos del SOC. Si te quieres saber más o tienes preguntas sobre los pasos para asegurar eficazmente tu entorno mainframe, por favor contacta con Christopher_perry@bmc.com o visita BMC Software para más información.
[1]https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/↩
[2] https://www.bmc.com/blogs/top-10-privilege-escalation-hacks-for-the-mainframe/↩
[3]https://enterprise.verizon.com/resources/reports/dbir/↩
[4] https://kellgon.com/netcat-the-hackers-swiss-army-knife/↩
Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.