Full transcript
0:00حسناً ، أهلاً بالجميع . شكراً جزيلاً لكم على المتابعة . انظروا ، أنا متحمس جداً للحصول أخيراً على فرصة لقضاء بعض الوقت مع أندرو . أندرو موريس ، مؤسس GreyNoise ، يقوم بأشياء مذهلة هناك ، يستمع إلى الإنترنت ويرى ما يحدث من غرائب . آه ، لكن أندرو ، أعتقد أنك كنت مشغولاً جداً مؤخراً . ما الذي يحدث في عالمك
0:16؟ >> أهلاً جون ، من الجيد رؤيتك . من الجيد أن أكون هنا . لقد كنت مشغولاً جداً مؤخراً . لقد أطلقنا هذا الشيء الجديد المسمى Project Swarm . لقد كنا نعمل عليه لفترة طويلة . أيضاً ، يبدو أن الإنترنت مشتعل نوعاً ما مؤخراً ، بمعنى أن هناك الكثير من الثغرات . اتضح أن هناك أطناناً من الثغرات . لذا ، نعم ،
0:32لقد كنا مشغولين بالاستماع إلى كل الزوايا الغريبة المختلفة للإنترنت . أم ، ونعم ، لقد كان الأمر ممتعاً للغاية . >> حسناً ، سأقول إنني حصلت على فرصة لتجربة Project Swarm ، لكنني كنت متأخراً قليلاً . تمكنت أخيراً من تشغيله الليلة الماضية . لكن ، خلال ذلك الوقت ، بمجرد طرح حوالي خمسة مستشعرات مختلفة ، رأيت بالفعل محاولات
0:51استغلال ، ورأيت حركة مرور غريبة ومشبوهة وبعضها خبيث . لكن ، هل يمكنك إخباري بالمزيد عما هو Project Swarm ، وكيف يعمل ، وما الذي يمكن رؤيته ، وما الذي يمكننا رؤيته الآن ؟ >> نعم . لذا ، يعود الكثير من هذا إلى أساسيات عملنا في GreyNoise . في GreyNoise ، نحن موجودون منذ بضع سنوات ، وأحد
1:07الأشياء التي نقوم بها هو تشغيل مستشعرات على الإنترنت . نحن ندير " مصائد خداعية " ( honeypots ) ، أليس كذلك ؟ شبكة مصائد ضخمة على الإنترنت . نرى من يبحث عن ماذا ، ومن يستغل ماذا . وقد حددنا قيمة ذلك في وقت مبكر جداً ، فكلما زادت تغطيتنا ، زادت الأماكن التي نشغل فيها مستشعرات ، وزادت
1:24تنوع الأشياء التي تبحث عنها المستشعرات ، زادت قيمة البيانات . من المرجح أن نكتشف شيئاً سيئاً ، وسنكتشفه بشكل أسرع ، وهذا هو فعلياً ما يدفع الناس لنا مقابله . لذا ، وكجزء من ذلك ، حددنا في وقت مبكر جداً أنه ، " انظر ، نحن من يدير أسطول المستشعرات الكبير
1:44هذا ، ولكن من الناحية المثالية ، إذا كانت قيمة عملنا تنمو بزيادة البيانات ، فإننا نريد إشراك الجميع في هذا . " نريد للآخرين ممن يرغبون في معرفة ما يجري على الإنترنت أو ربما في شبكتهم الصغيرة ، أي جزء الإنترنت الخاص بهم ، أن يتمكنوا من ذلك . نريد منحهم القدرة على القيام بذلك أيضًا ، ولا نريد
2:03أن نكلفهم مبالغ طائلة مقابل ذلك . لهذا السبب يبلغ سعر Swarm دولاراً واحداً فقط ، أليس كذلك ؟ نحن نريد التأكد من أن الناس ... في الأساس ، ما نريد القيام به هو إفساح المجال لهم . إذا كانت هناك ثغرة أمنية كبيرة وخطيرة في برنامج تهتمون به وربما لم يعرف فريقي عنها بعد ، فنحن نريد منح عملائنا القدرة
2:24على اكتشافها بأنفسهم . ونريد أن تعود كل هذه البيانات إلى مكان مركزي حيث يمكننا تنظيم طرق مشاركتها فيما بيننا ، لمحاولة العثور على المزيد من الأشياء الضارة على الإنترنت . وهكذا نتفق على الضجيج ، أقصد أننا نرى كل شيء ، أليس كذلك ؟ لأن الشبكة بأكملها ، نحن العمود الفقري للشبكة بأكملها ، لذا فإن كل ذلك يعود إلينا .
2:45وبالنسبة للأشخاص الذين يشغلون مستشعرات Swarm الخاصة بهم ، فلديهم وصول كامل وملكية كاملة لبياناتهم . يمكنكم فعل ما تريدون بها . يمكنكم بيعها إذا أردتم ، أليس كذلك ؟ يمكنكم حرفياً فعل أي شيء تريدونه . يمكنكم سحبها من المنصة ، وكتابة قواعدكم الخاصة على البيانات ، وما إلى ذلك . وهكذا ، نعم . وهذه هي الطريقة التي نفكر بها
3:02في الوقت الحالي . وفي نهاية المطاف ، نريد فقط أن نتواجد في أكبر عدد ممكن من الأماكن . ونريد أن نكون قادرين على رصد الأشياء المثيرة للاهتمام والجديدة التي يستغلها المهاجمون على الإنترنت . >> حسناً ، أنتم تعرفونني . أحب الجوانب التكتيكية والتقنية ، وربما بعض العروض التوضيحية . هل لديكم أي شيء يمكنكم ، لا أدري ، استعراضه ؟
3:21يمكنني أن أريكم بعض الأشياء التي رصدتها مستشعراتي . >> أريد أن أرى ، أريد أن أرى بياناتكم . أريد أن أرى لأنني لم أطلع عليها بعد . لذا أريد أن أرى نوع الأشياء التي ترصدونها . ما أريدك أن تفعله هو أن تشرح لنا الأمر بسرعة ، وأود رؤية بعض البيانات الأولية التي تطلع عليها ، فأنا قضيت عشر
3:38سنوات من حياتي في دراسة هذه الأمور . لذا ، لدي أفضلية بسيطة في القدرة على تحليل البيانات نظرًا لخبرتي الطويلة ، لكنني أرغب في رؤية ما ترصده مستشعراتك الآن . >> حسناً ، سيكون هذا ممتعاً . ربما يمكننا تبادل الأدوار قليلاً . يمكنني التحكم ، ويمكنك أنت أيضاً ، لكن لا تمانع إن وجهتك لما
3:58يمكنني عرضه . أول سؤال سأطرحه هو : هل ينبغي علينا استخدام أداة العرض المرئي الجديدة هذه في هذه الأيام ؟ >> نعم ، يجب عليك ذلك . يجب عليك ذلك بالتأكيد . لقد أعدنا إصدار أداة العرض المرئي للتو ، وهي تتمتع بمظهر جديد كلياً . لقد عمل " جين " و " أوستن " من فريقنا بجد عليها لفترة طويلة ،
4:13وهي تبدو رائعة حقاً ، لذا أنصحك بها . حسناً ، لدينا خمسة مستشعرات هنا . هذا رائع . >> أجل ، دعني أمهد الطريق أولاً . سأكون صريحاً ، قمت بتشغيل هذا النظام الليلة الماضية ، لذا لا توجد بيانات كثيرة ، ولكن يبدو أن هناك حوالي 31 جلسة مختلفة ، مع بعض الاتصالات المتبادلة . لقد لاحظت بعض المحاولات
4:32المحتملة مثل " wget " و " curl " و " pipe " لتنفيذ تعليمات برمجية عن بُعد ( RCE ) على خادم " أباتشي " الموجود خلف خادم " كونفلونس " . لكن هل هناك أي منها يثير اهتمامك لنتعمق فيه أولاً ؟ >> لا أظن ذلك . سأنتقل فقط إلى " الجلسات " هنا على جانبك الأيسر . سيعرض
4:49لنا هذا حركة مرور الشبكة لكل شيء تقريباً عبر أسطولك بالكامل . >> نعم . >> أرى أنك تنظر إلى آخر 6 ساعات في الأعلى . اجعلها 24 ساعة لترى تقريباً كل ما واجهك طوال هذه الفترة . ثم اضغط على " بحث " مجدداً . >> فهمت قصدك . >> أجل . لقد رأيت 100 ألف جلسة تستهدف هذه
5:10العناصر ، ولم يمر سوى أقل من 24 ساعة . أعني ، هذا يعمل منذ حوالي ، لنقدّر الأمر بالنظر ، حوالي 12 ساعة . >> نعم . >> دعنا نرى من أين تأتي حركة المرور التي تضرب مستشعراتك . أريدك أن تضغط على " عرض الرسم البياني " ، الموجود في منتصف الجانب الأيسر . >> أوه ، هذا ؟ هذا بالذات .
5:30فهمتك . >> إذًا ، يوضح لك هذا كيفية تخطيط الحقول الفردية بمرور الوقت ، وقد تم ضبطه افتراضيًا على عرض الدولة . هذه هي دول المنشأ للشبكات التي تهاجم مستشعراتك . على سبيل المثال ، أعتقد أنه من المثير للاهتمام رؤية ذلك المسح الضوئي الضخم
5:51والقادم من هولندا . >> أجل . >> وهو أمر غريب نوعًا ما . قم بتغيير " دولة المصدر " حيث ترى الحقل ، ثم اكتب " منظمة " ( org ) . لنرى . ثالث خيار هو " منظمة المصدر " ، منظمة المصدر من معلومات IP . أجل . لنرى ما هي
6:12الشبكات التي تهاجم هذه . ها قد ظهرت . هذا مثير للاهتمام . >> أجل . إذاً ، هذا هو " من " . هذا هو من يهاجم مستشعراتك . مرة أخرى ، أعتقد أن هذا رائع جدًا . والشيء الأخير الذي أريد رؤيته ، لنعد للأعلى ونرى ما الذي يفعلونه . قم بتغيير هذا الحقل من " منظمة
6:33المصدر " . فقط اكتب " اسم الوسم " ( tag name ) . وأجل ، هذه هي كل الأشياء التي ورثتها مجانًا بشكل أساسي . بعضها قد يكون غير منظم قليلًا ، لقد قمت بنشر بعض القواعد قبل إجراء الكثير من فحص الجودة ، لذا لا تقاضني . لكن
6:55يمكنك أن ترى هنا كل التحليلات المختلفة التي صنفناها لحركة المرور التي تضرب جميع مستشعراتك الآن . الكثير منها عبارة عن جهات فاعلة حميدة . يمكنك رؤية معهد SANS ، و Shadow Server ، وأكاديمية أبحاث الإنترنت ، إلخ .
7:17أعتقد أن هناك شيئًا آخر ، في استعلامك بالأعلى اكتب " ناقص التصنيف : حميد " ( - classification : benign ) . سيؤدي هذا إلى استبعاد كل الماسحات الضوئية المعروفة بأنها جيدة . وها قد ظهرت النتيجة . الآن انزل للأسفل قليلًا . هذا هو ما تبقى
7:38لدينا فعليًا . يبدو أن لديك ، أجل ، أعني أن هذا هو ما نراه . لو أردت أن ... >> ارتفاع مثير للاهتمام في اتصالات SSH . >> أجل ، يمكنك ، إذا كنت تريد التعمق في هذا الارتفاع بسرعة . >> لنقم بذلك . >> أتريد حرفيًا القيام بذلك بأسلوب " CSI : Miami "
7:59وتكبير الصورة ؟ أجل ، ها أنت ذا . >> جميل . كنت أعلم ذلك . تمامًا كما قلت ، " CSI : Miami " . >> ما يعنيه ذلك . أجل . حسنًا ، هذا يعمل على تقريب العرض مباشرة إلى تلك النقطة . لنحاول معرفة ما إذا كانت كل محاولات اتصال SSH تلك صادرة من نفس العميل . أظن أنهم
8:17كانوا كذلك . أحد الأشياء التي يمكنك القيام بها هنا ، لأن وتيرة ذلك هي بوضوح أتمتة آلية . مجرد إلقاء نظرة فاحصة على ذلك ، أليس كذلك ؟ حسناً ، هناك طريقتان للقيام بذلك ، لكن إحداهما موجودة على يسار محاولة اتصال SSH ، توجد علامة الزائد تلك . اضغط عليها ثم اختر JA3
8:39SSH . وهذا سيقوم بعمل SSH ، في الأساس ، JA3 Fox IO ، لديهم شيء يشبه JA3 ، لكنه مجرد مجموعات جديدة . نعم ، لذا فكل هؤلاء لديهم بصمة SSH واحدة . >> واو . >> نعم . وأيضاً ، أعني ، قد
8:59تتمكن من استخدام بصمة HA1 SSH ، والتي أعتقد أن لدينا منها في GreyNoise أيضاً . حسناً ، HA1 SSH . هذا مشابه جداً . نعم . لذا ، سننظر إلى ذلك . أظن أن كل هؤلاء سيكونون متطابقين . نعم . إذاً ، قم بنسخ ذلك . آه نعم ، انقر عليه . أوه ،
9:21يمكنك ببساطة النقر عليه ثم نسخ القيمة . >> رائع . >> نعم . وبعد ذلك ، لا أعرف ما إذا كانت هذه الميزة متاحة لك أم لا . افتح علامة تبويب جديدة لـ GreyNoise . >> فهمت . >> وابحث عن ذلك في ... ما الذي نراه بشكل أساسي في أسطولنا . نعم ، لذا يجب أن تكون قادراً
9:42على البحث عن ذلك مباشرة . أم ، نعم ، رائع . >> هل يمكنني لصقه مباشرة ؟ >> ربما . دعنا نرى . >> حسناً . >> لا . حسناً . إذاً ، ستقوم باستخدام أعتقد ... HASH . >> نعم . >> نعم ، هذا هو . بصمة HASH الخام . نعم ، ثم الصق
10:02ذلك . نعم . >> جميل . حسناً ، نحن الآن ننظر إلى نطاق أوسع مثل ... >> إلى مجمل حركة المرور . مثل كل حركة المرور . أنت تبحث عن ذلك مقابل كل GreyNoise وهو يعطيك هذا القليل ... حسناً ، اتضح أن هذا شائع جداً في الواقع ، أليس كذلك ؟ نحن نرى ، كم عددهم ؟ 3000
10:20عنوان IP حول العالم في أسطولنا يستخدمون نفس البصمة ، ولكن الأكثر إثارة للاهتمام هو أنهم جميعاً مصنفون بالفعل على أنهم ضارون أو مشبوهون . >> نعم . >> مما يعني أن هذا نوع من شبكة مشتركة ، هذه شبكة بوتات من نوع ما تستخدم أدوات متطابقة
10:41للانتشار عبر SSH ، ثم يستخدم ناشر SSH نفس قاعدة التعليمات البرمجية في كل مكان . ما هي قاعدة التعليمات البرمجية تلك ؟ لا أعرف . هذا هو المكان الذي قد ترغب فيه في محاولة رؤية ما إذا كان بإمكانك التغلب عليها ، الطريقة التي سأكرر بها هذا هي أن أقول أريد السماح لهم بتسجيل الدخول إلى شيء
11:02ما . >> صحيح . >> وبعد ذلك ، وبعد ذلك تقوم بتشغيل ، كما تعلم ، تشغيل برمجياتهم الخبيثة ، وربما تحصل على نسخة من أداة الانتشار تلك ، لتتمكن فعلياً من إجراء هندسة عكسية لها أو شيء من هذا القبيل . >> حسناً ، قبل أن نغوص في هذه التفاصيل المعقدة ، أود أن أخبر الناس بمدى سهولة المضي
11:18قدماً وتشغيل هذا النظام . لأن هذا كان مجرد " دروبليت " من DigitalOcean قمت بتركيبه سريعاً ، وشغلت أمر التثبيت ، وبعدها تكون جاهزاً تماماً للعمل والاستماع . ومثل هذه المستشعرات ، حسب ما فهمت ، لديك تلك الملفات التعريفية الرائعة المختلفة لتبدو وكأنها أي شيء . >> أجل . هناك الكثير من
11:39الأشياء هنا . حسناً ، نحن نقوم بالكثير من السحر في الخفاء لجعل هذا يعمل . فعلياً ، ما يحدث يشبه إلى حد ما طريقة عمل Cloudflare ، وكيف أن لديك شبكة توصيل محتوى ( CDN ) . المستشعر نفسه بسيط للغاية . إنه
12:00، إنه لا يقوم سوى بالقليل جداً من عمليات الحوسبة . كل ما يفعله هو تمرير الحزم . لذا ، فهو ينشئ نفقاً إلى " غراي نويز " ، ويقوم بنوع من السحر التقني لضمان مرور الحزم عبر ذلك النفق ، ثم ترتد إلى خادم موجود فعلياً
12:20داخل مركز بياناتنا الذي يشغل مصيدة الاختراق الحقيقية هنا . ثم تعود المسارات بالكامل ، ويتم ذلك أساساً قبل أن يدرك المهاجم أي شيء . وهكذا نتمكن من التقاط كل هذه الحركة ، وهكذا نحصل على أقصى قدر من المرونة فيما نريد أن يبدو عليه الأمر . وهذا يعني أيضاً أننا لسنا
12:41مقيدين بـ ، لنقل ، العبء الحسابي أو أي شيء من هذا القبيل . لذا ، أنت تريد أن يكون المستشعر بسيطاً جداً ، بحيث إذا أردت تشغيل شيء ثقيل مثل Microsoft Exchange ، يمكنك القيام بذلك لأنه يعمل على جهاز شخص آخر . >> ولديك بالفعل بضعة من تلك ، أليس كذلك ؟ إذا
13:02بحثت عن شيء مثل Microsoft Exchange ، فالأمر سهل جداً . >> نعم ، أعتقد ذلك . نعم ، بالضبط . كل ما عليك فعله بعد ذلك هو تعيينه للمستشعر . وعادة ما يستغرق الأمر بضع دقائق لإتمام التعيين بالكامل . أعني ، لن يكون الأمر فورياً لأننا نقوم ببعض التعديلات من جانبنا . علينا حرفياً إعداد البنية التحتية وتوجيهها نحوها . لكن
13:17الأمر لا يستغرق سوى بضع دقائق . نعم ، ولدينا مئات الأنواع المختلفة من ملفات تعريف البرمجيات المتاحة . >> أجل ، كان ذلك رائعاً . كنت أترك بعضها يمر ، ولكن لديكم أكثر من 225 ملفاً . وأعلم أنه يمكن للأشخاص إنشاء ملفاتهم الخاصة ، وحتى تثبيت هذا الشيء على " راسبيري باي " . هل هذا صحيح ؟
13:32>> نعم ، هذا صحيح . أعني ، هذا أمر مذهل حقاً . لذا في ظروف معينة ، ستحتاج إلى تشغيل " هاني بوت " ( جهاز جذب ) لشيء يمثل أجهزة مادية تمتلكها بالفعل ، حسناً ؟ هناك طريقتان يمكنك من خلالهما إضافة ملفات
13:53تعريف إلى مكتبة " غراي نويز " في الوقت الحالي . إحدى الطرق هي مجرد تحميل ملف OVA . نعم ، انظر هنا ، مكتوب " تحميل OVA " . أعتقد أنها ترمز إلى " جهاز افتراضي مفتوح " . إنه تنسيق الملف الذي يمكنك حفظ الأشياء فيه من برامج مثل VirtualBox أو VMware ، أو أي شيء آخر ،
14:12حيث يكون عبارة عن قرص كبير وملف تكوين تضعه في برنامج إدارة الأجهزة الافتراضية ثم يقوم بتشغيله . أليس كذلك ؟ هذه إحدى الطرق التي يمكنك القيام بذلك بها . إذا كنت تستخدم أداة مثل Packer أو VirtualBox أو أي شيء آخر ، فستجعل خدمتك تبدو تماماً كما تريد ، ثم تحفظها وتحملها من هنا
14:32. هذا رائع . إنه يعمل . الشيء الآخر الذي قمنا بتنفيذه هو ميزة " توصيل جهاز حقيقي " . هذا في الواقع جنوني نوعاً ما . >> أجل . >> تعمل ميزة توصيل الأجهزة من خلال حرق شيء نسميه " الناقل " ( transporter ) . والناقل يعمل بشكل فعال كعكس
14:52المستشعر . بدلاً من كونه نقطة دخول ، فهو نقطة خروج تقوم بتوجيه مستشعراتك إليها . لذا ، تقوم بتوصيل جهاز ، لنقل على سبيل المثال ، جهاز توجيه قديم أو مودم قديم كان مركوناً في خزانتك منذ 15 عاماً . تقوم بحرق " الناقل "
15:13باستخدام هذا الجهاز هنا . تضيف بيانات اعتماد الواي فاي الخاصة بك ، والتي بالمناسبة لا نعرفها أبداً لأننا نستبدلها من جانبك ، أي من جانب العميل . لذا ، عندما تضيف شيئاً مثل " واي فاي أندرو " أو ما شابه . يتم إضافته إلى الجهاز الافتراضي أو الصورة
15:33التي تحرقها على " راسبيري باي " ، ثم تقوم بنقل حركة المرور بشفافية من أي من مستشعراتك إلى تلك القطعة المادية من الأجهزة دون توصيلها فعلياً ببقية شبكتك ، مما يعني أن أجهزتك ستتعرض للاختراق . نعم ، ستتعرض لذلك . >> أجل . >> سيتمكن المخترقون
15:55بالفعل من الوصول إلى ذلك الراوتر ، لكنه ليس متصلاً ببقية شبكتك . في الواقع ، يتم ربطه عبر منفذ الإيثرنت الموجود في جهاز " راسبيري باي " . >> أوه . >> أجل . >> هذا جنوني . >> أجل . إذن ، أنت تستخدم منفذ إيثرنت الخاص بـ " راسبيري باي " لتوفير الإنترنت للجهاز الذي
16:16يوجه كل شيء عبر شبكة " غراي نويز " . وعندما يتعرض الراوتر للاختراق ، يصبح الأمر كأنك تقول : " حسناً ، سيحاول القيام بأمور أخرى " . " لكنه لا يستطيع التواصل مع بقية شبكتك لأنه ليس متصلاً بها مباشرة " . إنه على شبكة " غراي نويز " . على أية حال ، يمكنني الاستمرار في الحديث
16:32عن هذا كثيراً . إنه ممتع للغاية . أمم ، إنه مجرد ، كما تعلم ، إنه وسيلة مختلفة نوعاً ما لمحاولة تتبع ما يفعله الناس فيما يتعلق بمهاجمة الأجهزة المادية . >> أعني ، أنا أحب مدى مرونته ، فحتى القدرة على تحميل ملف " OVA " تعد أمراً رائعاً من منظور
16:53بحثي ، لأنه يمكنك القول : " أوه ، أعلم أن هناك استغلالاً نشطاً لثغرة يوم صفر أو ثغرة ما لا أعرف تفاصيلها " ، لكن مهلاً ، لدي البرنامج . يمكنني العثور على النسخة غير المصححة أو المعرضة للخطر . إذا قمت بتثبيتها ووضعها في مستشعر " غراي نويز " ، هل يمكنني رؤية الاستغلال الحقيقي ؟ الجواب هو نعم . ومثل أن
17:14تريني ملف " Pcap " . تُظهر لي كل الوسوم ورموز " CVE " التي تتابعها بالفعل ، ومن ثم يمكننا معرفة عناوين " IP " الحقيقية للمهاجمين على الإنترنت ومن الذي يتسبب في ذلك الضرر ، وهذا أمر رائع للغاية . >> أجل ، إنه أمر أنيق حقاً . لذا ، ما قمنا به هو أننا قمنا بوضع نظام كامل للعملية
17:34برمتها التي يجب أن تمر بها من البداية إلى النهاية للعثور على الاستغلال النشط ، وقد بنينا كل هذه الأدوات حولها بحيث يسهل على أي شخص القيام بذلك . أمم ، وبهذه الطريقة ، إنها تجربة تعليمية رائعة حقاً أيضاً . أعني ، خاصة للأشخاص الجدد في هذا المجال أو الذين يرغبون في التعمق أكثر
17:56في الأمن السيبراني ، ما هي الطريقة الأفضل من محاولة الحصول على بيانات واقعية لما يفعله المهاجمون على شبكتك ، وصقل مهاراتك في تحليل ملفات " Pcap " ، وإلقاء نظرة عليها ومعرفة ما يمكنك اكتشافه . مم ، إنه حقاً رائع . كما قلت ، إنها
18:16تجربة تعليمية جيدة لمعرفة كيفية استخراج بيانات ملفات pcap وأشياء من هذا القبيل . >> سأعترف ، أميل إلى الرغبة في مسار سريع لأقول : " أوه ، هل يمكنك أن تريني الأشياء الغريبة والمثيرة التي ربما حدثت ؟ " ما هي الحمولة ؟ ما هي الأدلة الفعلية أو التأثير على نقطة النهاية الذي يحدث بعد الاختراق ؟ حسناً ، ما كنت أنظر
18:37إليه ، أعتقد أن هذا الخاص بـ Atlassian كان يحتوي على ، حسناً ، بعض النشاط . إذا كان بإمكاني استكشاف الجلسات هنا ، أريد البحث عن بعض تلك الضربات الضارة ، لأنه يمكنك فقط إعطائي ، انظر ، هناك زر سهل للحصول على الحمولة ، أليس كذلك ؟ >> نعم . هذا صحيح . نعم ، نحن لا نزال نعمل على
18:54جعل إظهار الأشياء ذات التأثير العالي للمستخدم أمراً سهلاً وسريعاً للغاية ، لأنه كما يمكنك أن تتخيل ، هناك الكثير من البيانات هنا . ولذا ، فإن تمشيط هذه الأشياء أمر مهم حقاً . لذا ، ما سأفعله هنا إذا كنت مكانك ، نعم ، تريد الاختيار ، دعنا نرى ، اصعد قليلاً . دعني أرى .
19:16هذا الثاني هناك يحتوي على 278 بايت بيانات ، مما يعني بايتات داخل الحمولة . دعنا نرى . بالنظر هنا . حسناً ، هذا في الواقع مجرد شخص يحاول الحصول على إعدادات " get config " أليس كذلك ؟ >> وإذا انتقلت إلى صفحة النظرة العامة ، نعم ، أو الجانب الأيسر . من
19:36المحتمل أن يتم تمييزه بـ ، نعم ، انظر ، محاولة وصول لملف حساس عام وزاحف إعدادات " get config " . لذا فقد قمنا بالفعل بتمييز هذا السلوك الذي نراه . لكن نعم ، تماماً كما قلت ، يمكنك ، وهنا إذا عدت للأعلى قليلاً ، يمكنك تنزيل ملف pcap لهذا . على الرغم
19:56من أنه يمكنك رؤيته هنا في واجهة المستخدم . فقط ملف pcap الكامل ، اضغط على ذلك . ويجب أن يعود . >> يظهر على شاشة لا يستطيع الجميع رؤيتها ، لكن نعم ، لقد قمت بتنزيله الآن . >> نعم ، ها أنت ذا . وهذا يوضح ببساطة ، كما تعلم ، مدى سهولة استرجاع كل شيء والعثور عليه .
20:16مرة أخرى ، لا أعتقد أننا وصلنا إلى حيث نحتاج أن نكون من حيث جعل الأشياء ذات التأثير العالي واضحة تماماً وبشكل فوري للمستخدم . ولذا أعتقد أن هذا أحد الأشياء التي نعمل عليها الآن . >> أعني ، أعتقد أنك تمتلك بدايات ذلك بلا أدنى شك . لا تزال على الأقل قادراً على الاستدلال ، مثل " انظر ، أرى
20:35محاولات حقيقية وأستطيع رؤية الحمولات سواء من HTTP أو ما يبدأون بفعله عبر SSH " . ممم وأشياء أخرى . هذا لا يزال أمراً مذهلاً . هذا لا يزال أمراً استثنائياً . >> أجل ، ولا يزال هناك الكثير ، أعني أننا في الواقع نقوم بالتوسط وفك تشفير TLS في حالات معينة حتى نتمكن فعلياً من الحصول على حركة المرور المشفرة .
20:54لذا ، بالعودة خطوة إلى الوراء يا جون ، إليك معلومة صغيرة وممتعة . بعض الجهات الفاعلة هناك ، مثل بعض الجهات التي تشكل تهديداً ، لا تحب إطلاق الاستغلالات عبر قنوات غير مشفرة . >> مهم . >> إنهم لا يحبون ذلك ، حسناً ؟ ربما لأنهم يظنون أن مزودي خدمة الإنترنت أو الحكومات الغامضة يتوسطون حركة المرور ، لذا فهم لا
21:15يريدون إطلاق استغلال على شيء ما ما لم يكن عبر قناة مشفرة . ممم ، هذا يعني أن بعض الأشياء التي نراها لا يتم استغلالها إلا عبر قنوات مشفرة ، مما يعني أن علينا فك تشفير TLS في بعض أدواتنا لنتمكن من كشف تلك الأمور . لذا ، هذه معلومة صغيرة وممتعة لك . تلك المعلومة مجانية تماماً . >> أعني مرة أخرى ، مجرد
21:34كون ذلك ممكناً على ملف OVA تضعه على الإنترنت أو Raspberry Pi توصله بأجهزة حقيقية ، حقيقة أنك جعلت الأمر بهذه البساطة والسهولة هو أمر رائع . >> أجل . >> يتطلب ذلك الكثير من العمل ، أليس كذلك ؟ كان على الفريق القيام بالكثير من العمليات المعقدة للغاية لمنحنا القدرة على فعل ذلك ، لكنه يعمل بالفعل . ما لديك هنا هو صفحة
21:55التحليل . هذا هو المكان الذي يمكنك فيه ، أعني كل ما في الأمر أنك تضع قائمة بعناوين IP هنا ، وسيقوم النظام فعلياً بالعودة وتعيينها . هنا ، إذا عدت إلى طريقة عرض الجلسات الخاصة بك >> فهمت قصدك . >> ثم دعنا نرى . العناصر
22:17في كل صفحة في الأسفل من 50 ، حسناً ، 50 مناسبة . ثم اضغط فقط على Control A وانسخ كل شيء في هذه الصفحة بأكملها وضعه في حافظتك ، ثم عد إلى صفحة التحليل . >> امسحها . >> ضع الشيء بالداخل . أجل . ثم اضغط على تحليل . وما سيفعله بعد ذلك هو استخراج النص الحر
22:38>> أوه ، هذا رائع . >> ممم لكل ما كان في حافظتك ثم إثراؤه مقابل Greynoise بسرعة كبيرة . >> يا إلهي . >> أجل . لذا ، فهو مفيد للغاية للفرز السريع جداً للأشياء . >> رائع جداً . >> أجل . >> هل لي أن أسأل ما هي ، لا أدري ، بعض هذه التجارب أو موجزات
22:55التهديدات ؟ أو أشعر بالفضول لمعرفة الأشياء الأخرى التي يمكننا تجربتها هنا . >> انتقل بسرعة . اذهب إلى التجارب . دعني أرى التجارب التي يمكنك الوصول إليها منذ البداية . إذن ، لنرَ . " ريكول " هو في الواقع GNQL عبر الزمن . إنه بشكل أساسي يمنح عملاءنا القدرة على استخدام نفس الصيغة ، أي استعلام دقيق ، ولكن
23:15للنظر في أي حقل عبر الزمن . لذا ، فهو كم هائل من البيانات . أداة " تحقق من عنوان IP الخاص بي " سريعة للغاية . إنها مخصصة مثلاً للأجداد والجدات خلال العطلات الذين يسألون : " كيف أعرف إن كنت قد تعرضت للاختراق أم لا ؟ " ونحن نقول : " حسناً ، يمكنك الضغط على هذا الزر
23:31وسنخبرك إذا رأينا أي شيء يحدث من شبكتك " . خريطة تهديدات Greynoise ، هي خريطة هجمات ، لكنها خريطة أفضل وأروع لأنها تعتمد فعلياً على بيانات حقيقية لهجمات تحدث ضد مستشعرات Greynoise ، أليس كذلك ؟ بما في ذلك الأجهزة التي يتم اختراقها بالفعل . لذا ،
23:53نعم ، إنها رائعة جداً . لنرى . ما هي بعض التجارب الأخرى التي كانت لدينا هنا ؟ خادم Greynoise MCP ، بسيط للغاية ومباشر . يتيح لك ببساطة ربط نظام Cloud أو ChatGPT الخاص بك أو أي شيء بـ Greynoise . وأنت تقوم فقط بتشغيله من جانبك . إنه يقوم بكل شيء عبر واجهة برمجة
24:13تطبيقات Greynoise . يجعل الأمر سهلاً للغاية بحيث يمكنك استخدام Greynoise دون الحاجة إلى إعداد أي واجهات برمجة تطبيقات أو ما شابه . >> هل تمانع إن تعمقنا في هذا الأمر قليلاً ؟ لأنني سأكون صادقاً جداً . أنا مهووس بالذكاء الاصطناعي كما أشخص نفسي . أنا مستعد لتحمل المسؤولية كاملة . كان " كوديكس " هو من قام بإعداد قطرات DigitalOcean
24:33لأتمكن من وضع المستشعرات عليها . كان " كوديكس " هو من قال : " يا جون ، أرى بالفعل بعض محاولات SSH هذه على Cowrie " . أرى بالفعل محاولات Wget و bin bash هذه على Apache خلف Confluence . لذا قلت لنفسي ، حسناً ، هذا رائع لأن هناك الكثير من البيانات في الـ 31,000 جلسة التي رأيناها
24:51خلال 12 ساعة فقط منذ أن أصبحت متصلة بالإنترنت . >> هذا صحيح . تخيل ، بالمناسبة ، تخيل مقدار حركة المرور التي نراها . >> أنا أقضي وقتاً مع الروبوتات وأعتقد أن الأمر يبدو وكأنك في نفس القارب ؟ >> أوه ، نعم . أعني ، أنا أقوم ، هناك أشياء مختلفة . أستخدم الذكاء الاصطناعي لإنجاز
25:11معظم عملي الآن . أنا فقط أقول له : " مرحبًا ، افعل هذا الشيء ، واكتب هذا ، وافتح طلب سحب ( pull request ) لهذا " . لدي نموذج أولي أريدك أن تنهيه لهذا الغرض . لدي الكثير من البيانات التي أريدك أن تعالجها بسرعة . ما زلت أدفع بالذكاء الاصطناعي إلى أقصى حدوده ، فيما يخص ما تستطيع أحدث
25:29النماذج فعله الآن مقابل الأشياء التي لم تصل إليها بعد . وأنا أرى نجاحًا كبيرًا في تفويض معظم مهامي ؛ فأنا أبقي نافذة " tmux " مفتوحة وبها حوالي خمس تبويبات ، وأعمل في أي وقت على شيئين أو ثلاثة في آن واحد . وما زلت أحاول معرفة ما
25:50الذي ينجح وما الذي لا ينجح . لدي ميزة إضافية ، وهي أنني أملك صلاحية " وضع الإله " ( god mode ) في GreyNoise . لذا ، يمكن لعملائي الوصول إلى جميع خدمات البيانات الخلفية المختلفة ومطابقة البيانات الخام ، بالإضافة إلى بيانات شركائنا . نحن شركاء مع Censys و Spur ، لذا يمكن لمحللينا الوصول إلى المزيد من
26:09البيانات التي يمكنهم ربطها ببعضها البعض ، وأشياء من هذا القبيل . لقد كان هذا نقلة نوعية في القدرة على إجراء تحليلات جيدة ، خاصة عند مقارنتها بمجموعات بيانات أخرى عندما تحاول العثور على أشياء ضارة على الإنترنت . >> حسنًا ، لدي وظيفتي اليومية في Huntress ونحن نتواصل معًا . لدينا قناة Slack رائعة
26:29للتعاون ، وكنا نقول : " يا أندرو ، يجب أن تكون معنا هناك أيضًا " . كان الأمر مضحكًا جدًا . كان هناك موضوع نقاش مؤخرًا لشخص آخر في الفريق يقول : " واو ، مشروع سرب GreyNoise يبدو رائعًا " . فقلت : " مرحبًا ، أنا أتحدث مع أندرو حول هذا الموضوع " . فقال : " أخبر أندرو أن ينضم
26:43إلى قناتنا للتعاون " . >> سأحب ذلك كثيرًا . نعم ، يمكنني القيام بذلك الآن . >> ولكن ، هل هناك أي شيء - واعذرني - يمكنك عرضه أو هل يمكننا إلقاء نظرة خلف الكواليس من منظورك على كل تلك الرؤية الشاملة التي تراها ؟ بالطبع ، مع إجراء التعديلات اللازمة أو حذف أي شيء لا يمكنك إظهاره . لكن ،
27:04أنت تمتلك رؤية " وضع الإله " تلك . >> أفعل ذلك . بالتأكيد أفعل . دعوني أرَ ما يمكنني عرضه عليكم . بعض الأشياء التي ربما لا تملكونها . حسناً ، أحد هذه الأشياء هو " رد الاتصال " ( callback ) . هذا هو في الواقع أي وقت نرى فيه مستشعرات Greynoise تتواصل وتحاول سحب الملفات . نعم ، تتواصل
27:27وتحاول سحب الملفات . هذا رسم بياني لكل الملفات المختلفة التي حاولنا الحصول عليها ، وأسمائها ، ومصادرها ، وأنواع الملفات المختلفة . هذا واحد نشط للغاية . هناك الماسح الضوئي نفسه ، وعنوان IP الخاص
27:47بالمرحلة الأولى لرد الاتصال ، والذي يقول : " مرحباً ، قم بتنزيل هذا الملف الثنائي من خادم الويب هذا " . " المرحلة الثانية هي القيادة والتحكم الفعلية ، وما الذي يحاول ذلك الملف الثنائي الاتصال به ، ثم اسم الملف ، وقيمة التجزئة ( hash ) الخاصة به " . معظمها من نوع Mirai و Mozi ، ويمكنني فعلياً
28:02تنزيلها مباشرة من هنا ، بالإضافة إلى رؤية جميع معدلات الكشف الخاصة بـ VirusTotal هنا . نقوم بتنزيل كل ذلك ، وفي هذه الحالة ، نحن نحاول استغلال عنوان IP هذا لاختراق Fortinet FortiOS لتنزيل هذا الملف من هنا ، وهكذا دواليك .
28:24السلسلة بأكملها . المهاجم يهاجم هذا الملف الشخصي ، ويقوم بزرع هذا البرنامج الضار ، وما إلى ذلك . إذاً ، هذا شيء واحد . هذا مجدداً هو ميزة رد الاتصال الخاصة بنا . من جانبي ، لدينا شيء يسمى خدمات الأعمال . هذا مثل ، إذا كنت تقوم يوماً ما بتحقيق وقلت : " يا إلهي ، كل عناوين IP
28:44هذه تتحدث إلى نفس النطاق الغريب أو نفس المجموعة الغريبة من عناوين IP " . " ثم تنظر إليه وتكتشف أنه Zscaler أو Splunk Cloud أو Datadog أو غيرها ، فتشعر وكأنك أحمق " . جزء من ذلك هو أننا أردنا حصر أكبر قدر ممكن من سطح
29:05الهجوم هذا أو الأجزاء المعروفة والجيدة من الإنترنت التي تتواصل معها شبكات الأشخاص بالفعل . وهذا موجود هنا ، خدمات أعمال BSI . لدينا كل شيء بدءاً من Amazon EC2 و Azure و GitHub Actions ، وصولاً إلى Google APIs و Rackspace ، وما إلى ذلك . وقد قمنا بتصنيفها
29:26وفقاً لمستويات ثقة مختلفة . وهذا يعني ببساطة مستويات الثقة من واحد إلى ثلاثة ، حيث يمثل المستوى الأول الأقل ثقة ، وهو نظام Google DNS العام . لا يمكنك حظر نظام Google DNS العام . أعني أنه لا يمكنك حظر نظام Google DNS العام . أنت لا تريد القيام بذلك . وصولاً إلى خدمات مثل EC2 و GitHub Actions وأشياء من هذا
29:46القبيل . وهذا ما لدينا هنا في جانبنا . دعونا نرى . من الواضح أنني إذا انتقلت إلى عرض أجهزة الاستشعار الخاص بنا هنا ، فسيبدو مختلفاً قليلاً عن عرضك ، لأننا كما ذكرنا سابقاً ، لدينا الكثير من أجهزة الاستشعار حول العالم . هذا أحد كبار المستأجرين لدينا . ويمكنك أن ترى
30:06هنا أن لدينا عدداً لا بأس به منهم . >> هذا رائع جداً يا رجل . >> أجل . لدينا الآلاف منهم في هذا النطاق الخاص . وإذا انتقلت الآن إلى عرض الجلسات الخاص بنا هنا ، فقد شهدنا في الساعات الست الماضية 61 مليون جلسة . وهذا يتعلق بالجلسات فقط . لا يشمل ذلك حتى الحزم . بالتأكيد
30:26يمكننا التعمق أكثر من ذلك . لقد رأيت 280 مليوناً في هذا النطاق خلال الـ 24 ساعة الماضية ، وأنماط حركة المرور التي نراها هنا مختلفة قليلاً ، لكن لا يزال بإمكانك رؤية هذه الطفرات الهائلة مثل تلك القادمة من فيتنام . وما يثير اهتمامي حقاً عندما أنظر إلى
30:48شيء كهذا هو أن هذه الأمور اصطناعية بوضوح ، أليس كذلك ؟ لا يوجد نمط حركة مرور طبيعي ينتقل من كونه هادئاً جداً إلى نشاط مكثف بهذا المستوى الدقيق . لذا ، يمكنني القول بكل ثقة إن هذا من صنع البشر . سأدخل
31:08الآن إلى طفرة حركة المرور الفيتنامية هذه لفترة وجيزة خلال اليوم الأخير لنرى ما الذي يحدث . ومن أين يأتي كل هذا ؟ هل يأتي من مكان واحد أم من عدة أماكن ؟ إنه يأتي من عدة أماكن . والجزء الأكبر منه يأتي فعلياً من هذه الشركات الثلاث فقط . شركة Digital Storage المحدودة ، وشركة
31:29Cloudflare ، وشركة TLS Soft . سأقوم بإضافة هذه إلى استعلامي لتجاهلها أساساً ، ما الذي يحدث مع هؤلاء يا ترى ؟ ما الذي يفعلونه ؟ ما الذي يقومون به ؟ قبل أن أنظر في العلامات ، دعونا نبحث في البروتوكولات التي تستخدمها هذه
31:50الارتفاعات الثلاثة . الأمر المثير للاهتمام هو أنهم جميعاً يقومون بالقليل من اختبار الاتصال " ICMP " هنا في الأسفل . ثم إن حركة مرور " TCP " تشكل الغالبية العظمى منها . >> من الغريب جداً أن الكثير من هذا الشكل يبدو كأشياء مختلفة ،
32:10كأنه جهاز أو نوع من الأجهزة . >> بالفعل . بالتأكيد هو كذلك . لقد طابقت مجموعة من بصمات الأجهزة المختلفة ، أو بالأحرى بصمات " TCP " ، وهذا يحدث أحياناً عندما يستخدم شخص ما ماسحه الضوئي الخاص . على سبيل المثال ، عندما يقوم شخص ما بتنفيذ حزمة " TCP " الخاصة به ، أو يقوم بأي نوع من العشوائية
32:29في طريقة مسح الإنترنت ، فقد يحدث ذلك أحياناً . لذا ، ما زلت لا أعرف . أعتقد أن هذا ماسح ضوئي كثير النشاط . دعني أرى إذا كنا نراه عبر الكثير من المستشعرات المختلفة . نعم ، نحن نراه
32:50بالتساوي في الولايات المتحدة ، فرنسا ، الهند ، ألمانيا ، كندا ، سنغافورة ، والمملكة المتحدة . نعم ، كل ما أعرفه هو أن هذا مجرد مسح يحدث عبر عدة مؤسسات في نفس الوقت . لا أعرف بالضرورة ما إذا كان هناك أي شيء مثير للاهتمام هنا ، لكن هذه هي الطريقة التي سأتبعها للقيام
33:10بالتحليل . الشيء الوحيد المتبقي الذي أعتقد أنه محير جداً بشأن هذا هو أنه يتم تعشوائيته بالكامل . بصمة " TCP " يتم تعشوائيتها في كل هذه الحالات . >> أوه . >> إما أن بصمة " TCP " لأن انظر إلى هذا ، كلها مختلفة تماماً . >> سلاسل " Draw four " ، أليس كذلك ؟ >> نعم ، أربعة " tees " . وهذا
33:32سيكون موروثاً مثل الحد الأقصى لحجم المقطع ، و " MTU " ، وحجم النافذة ، وأشياء من هذا القبيل . كل هذه مختلفة تماماً . لذا ، إما أن شخصاً ما هنا قد جلب حزمة " TCP " الخاصة به ، أو أن هذه في الواقع مجموعة من الأجهزة المختلفة التي تتحدث فجأة إلى الإنترنت بصوت عالٍ وقوة .
33:52الإجابة الأكثر وضوحاً هي الاحتمال الأول . شخص ما لديه حزمة " TCP " خاصة به ويقوم بمسح الإنترنت بقوة من هذه الأماكن ، دائماً على المنفذ 80 ، وهو أمر مثير للاهتمام . أو ربما تكون هذه مجموعة من الأجهزة التي بدأت فجأة في مسح الإنترنت ، وكلها ببساطة تمتلك أجهزة مختلفة ؛ مثل هذا
34:13، هذا لنظام ويندوز 8192 ، ثم هذه ، من المرجح أنها لنظام لينكس . لا أعلم . على أية حال ، أنا لست متأكداً : ما فعلناه هو أننا غصنا مباشرة في أعماق هذا النوع الغريب من حركة البيانات القادمة من فيتنام ، كلها قادمة من
34:33فيتنام ، وتضربنا في عدة أماكن مختلفة ، عادةً على المنفذ 80 ، ثم عند النظر إلى تنفيذ بروتوكول TCP ، لأن هذا كله مجرد حركة مسح ، لا يوجد سوى القليل جداً في جسم حزمة TCP . حتى لو نظرت إلى عدد البايتات
34:54بمرور الوقت ، سيبدو الأمر مثل 420 . نصفها إما 240 أو 420 . وهكذا ، نعم ، هذه ليست مساحة كافية للقيام بأي شيء حقاً . >> نعم ، لا توجد بيانات مرفقة معها . >> نعم . إذن ، إذا نظرت فقط إلى هذا ، ماذا يحدث في
35:16أحد هذه الملفات ؟ لا شيء . مجرد مجموعة من عمليات إعادة إرسال TCP ، لا شيء يذكر . >> ومع ذلك ، فإن قدرتك على التعمق في هذا لمجرد أنك تشعر بالفضول قليلاً ، ما هذا ؟ هذا غريب . يبدو الأمر مريباً . القدرة
35:36على رؤية الأنماط ، والقدرة على رؤيتها بلمحة واحدة ، أمر رائع للغاية . وعندما تريد ملف pcap ، يمكنك فقط سحبه وها هو لديك . >> هذا صحيح . نعم ، هذا صحيح . وهكذا في هذا الملف ، عذراً ، أنا فقط أشعر بالفضول . أنا مثل ... >> نعم ، أعتقد أن كلينا انشغلنا بهذا اللغز الآن .
35:54>> نعم ، نعم ، نعم ، لقد شغلت نفسي بهذا اللغز للتو . أمم ، أعتقد أن هذا كان مجرد كل عمليات إعادة الإرسال هذه . أعتقد أن هذا كل ما في الأمر . لا يوجد ... لا يوجد الكثير هنا في هذا الملف . >> حسناً ، أُغلقت القضية . >> نعم ، هذا صحيح . هذا صحيح . أمم ، لكن الأمر
36:12الأكثر إثارة للاهتمام مرة أخرى ، هو أن هذا جزء مما يجعله ممتعاً للغاية ، هو أنه يمكنك التعمق في هذه البيانات ويمكنك البحث فيها لفترة طويلة ، ويمكنك العثور على الكثير من الأشياء المثيرة للاهتمام . أمم ، أسهل شيء هو أنني أحببت ما فعلته حيث بدأت هنا بتصنيف " خبيث " فقط . أنت تنظر إلى الرسم البياني مثل : "
36:29مرحباً ، من أين نرى هذه الأشياء السيئة قادمة ؟ " " أمم ، وحتى ما هو نوع الأشياء السيئة التي نراها ؟ " الكثير من " ميراي " . >> نعم ، كان هذا أكثر شيء رأيته ، مثل " حسناً ، ميراي طوال الوقت " . >> أجل ، هذا صحيح . لا ينتهي أبداً . >> أعجبني أنك بحثت عن
36:47البايتات منذ فترة ، لأن ذلك سيكون مجرد طريق سريع آخر لتقول " حسناً ، أريد رؤية الحمولة " . أريد رؤية الفعل ، أريد رؤية ما حاولوا القيام به سواء للأوامر أو لشيء أبعد من ذلك . رأيت بعض الأشياء تحاول تتبع ملف env . الخاص بي إذا ما تم كشفه لأي سبب على نقطة نهاية HTTP ، لكن
37:06القدرة على رؤية التقنية ، ورؤية أساليبهم ، أمر رائع للغاية خاصة عبر هذا الغرب المتوحش الذي يمثله الإنترنت . >> نعم ، هذا صحيح . أنا فقط ، هذا أحد الأشياء المفضلة لدي للبحث فيها ، مثل الديدان القديمة والبرمجيات القديمة جداً ، أجل ، هذا هو WannaCry ، وسأقوم
37:26هنا باستعراض سريع جداً له . إذن ، إذا كان هذا هو كل ما نراه من WannaCry ، كما تعلم ، في الـ 72 ساعة الماضية ، يمكنني بوضوح النظر إليه من المنظمات . إذن ، الأمر مثل : " مرحباً ، أين توجد إصابات WannaCry القديمة والتقليدية ؟ " . " الكثير في روسيا ،
37:46الكثير في فيتنام ، الكثير في الهند ، وإندونيسيا " . سيكون هناك الكثير من الدول النامية وأشياء من هذا القبيل . وهذا مثير للاهتمام حقاً لأنه سهل جداً جداً جداً في التتبع . المشاركة التي كنا نحاول القيام بها . لذا ، يحاول هذا ربط
38:06مشاركة IPC بدولار على العنوان 192.168.56.20 . ثم ، إذا بحثت عن هذا في جوجل ، أم ... كما تعلم ، كان هذا مبرمجاً بشكل ثابت داخل WannaCry . وهكذا ، نعم ، إنه أمر مثير للاهتمام حقاً ، أليس كذلك ؟ هناك الكثير والكثير والكثير من البيانات التي أتعمق
38:27فيها حقاً . لقد قضينا الكثير من وقتنا هنا في GreyNoise لمحاولة وضع هذه البيانات في تنسيق جيد وسهل الاستخدام حتى نتمكن من استكشافها ، وسحبها ، وتشغيل الاستعلامات عليها ، وما إلى ذلك ، ولكن لا يزال هناك الكثير من العمل الذي يتعين القيام به لفهم معنى كل شيء . وكما تعلم ، في تصنيف البيانات وإيجاد أشياء مثيرة
38:48للاهتمام . لذا ، نعم . >> حسناً ، أعتقد أن مشروع ستورم ، وخاصة الطريقة التي جعلته بها متاحاً جداً ، وأنظر ، إنه بدولار واحد ، أمر لا يصدق . ومرة أخرى ، فإن تشغيل أي عدد تريده من وحدات Digital Ocean ، أو Raspberry Pi ، أو Linode ، أو AWS ، أو GC ، أو أي مزود
39:06استضافة سحابي لديك ، أمر في غاية السهولة . وبعد ذلك تحصل على كل تلك الرؤية ، وتكتشف أشياء غريبة وغير متوقعة . هذا هو أكثر ما يمتعني ، نعم ، في عصر الذكاء الاصطناعي ، وأود حقاً معرفة رأيك في ذلك . هل تشهد هجمات بسرعة الآلة حقاً ، أم أن الأمر يتجاوز ذلك إلى استغلالات أكثر جموحاً وجنوناً وسرعة
39:26، مع المزيد من الضجيج والرسائل المزعجة ؟ لكن القدرة على استخدام الروبوتات للعثور على تلك الإبرة في كومة القش وسط كل ذلك الضجيج أمر رائع حقاً بالنسبة لي أيضاً . >> نعم ، إنه أمر رائع للغاية . أعني أننا نرى المزيد . نرى الأشياء تحدث بشكل أسرع . لذا ، ببساطة المزيد وبسرعة أكبر . هذه هي الأشياء
39:42التي نلاحظها . نحن نشهد زيادة في حجم حركة المرور ، ولكننا نرى أيضاً تكيفاً أسرع لأشياء جديدة كلياً مع جميع شبكات البوتات هذه ، في حين كان الأمر يستغرق أسابيع أو أشهراً في الماضي بين ظهور ثغرة جديدة أو إثبات مفهوم جديد متاح للجميع وبدء شبكات البوتات في استخدامه .
40:04كل ذلك يحدث في نفس اليوم الآن . لذا ، هذا يمثل تحدياً كبيراً بالتأكيد . كنت سأقول ، ربما قبل 6 أشهر ، يمكنني النظر إلى البرمجيات الخبيثة وإخبارك ما إذا كانت مكتوبة يدوياً . أما الآن ، فلم أعد واثقاً من ذلك بعد الآن . الروبوتات أصبحت بارعة في كتابة البرمجيات ، لذا ... >> لم يعودوا يتركون
40:24رموزاً تعبيرية في أكوادهم البرمجية بعد الآن . >> نعم ، بالضبط . ليسوا كذلك ، نعم ، هذا صحيح . أعني ، كانت في السابق غبية جداً ، لكن الآن أصبحت ماهرة للغاية . >> حسناً ، ما هي خطوتك التالية ؟ ما الذي تعالجه " جراي نويز " ( Graynoise ) حالياً ؟ ما الذي ... لا أعلم . هل هناك
40:38المزيد من الضجيج والحماس حول مشروع " سوارم " ( Project Swarm ) ؟ هل أنت بصدد الانتقال لشيء آخر ؟ >> لا ، أعني ، أعتقد بالنسبة لي ، نريد التأكد من سهولة استخدامه . نريد التأكد من أن الناس قادرون على الاستفادة منه بسرعة كبيرة . أعتقد أن القيمة الفكرية لهذا الأمر مثيرة للاهتمام حقاً . إنه لأمر ممتع أن
40:56نتمكن من تشغيل أجهزة استشعار عبر الإنترنت ، وجمع بيانات مباشرة عما يحدث في أماكن معينة ، خاصة عندما تسوء الأمور ، إذا جاز التعبير . أعتقد أن هذا مثير للاهتمام ، لكن ما يثير اهتمامي أكثر هو هل يمكننا حل المشكلات للناس ؟ مشاكل حقيقية جداً تواجه الناس ، ونقدم لهم بعض القيمة
41:17الأمنية ، سواء كان ذلك بحجب الكثير من الأشياء الضارة عن شبكتهم تماماً ، أو استجابة أسرع عند حدوث خرق كبير ومخيف . لذا ، أود أن أقول إن سهولة استخدام المنصة مهمة جداً بالنسبة لي . ثم إن مقياسي المتزايد هو أنني أريد رؤية أشخاص آخرين لا يعملون في GreyNoise يستخدمون المنصة
41:38ليكونوا أول من يكتشف استغلال ثغرات برمجية مختلفة في العالم الحقيقي ، أليس كذلك ؟ أريدك أن تكون قادراً على العثور على شيء ما ، أو العثور على برنامج ضار جديد ، أو هجوم جديد لم يحصل حتى على معرف CVE بعد ، أليس كذلك ؟ مثل ثغرة يوم صفر حقيقية . أريد رؤية أشخاص آخرين يستخدمون GreyNoise للعثور على
41:57أشياء كهذه . ولكي نصل إلى ذلك ، علينا حقاً أن نجعل المنصة فائقة السهولة وقوية جداً . ولذا ، نعم ، نحن مستمرون في العمل بجد لتحقيق ذلك . هناك الكثير في البيانات التي نمتلكها بالفعل ، بمجرد تصنيفها بشكل صحيح ، فقد أضفت قاعدة
42:17جديدة للبحث في الأجهزة التي تطابق بصمة TCP الخاصة بتلفاز ذكي يحتوي على وكيل سكني مدمج . ونحن نرى الآلاف والآلاف والآلاف منها في GreyNoise . إنه أمر جنوني . هناك الكثير من الأشياء
42:37كهذه ، لكن تتبعها والتأكد من تصنيفها يوماً بعد يوم ، هي بعض الأشياء التي أهتم بها . >> ما رأيك ؟ هل هناك أي شيء آخر لعرضه أو الحديث عنه أو للنقاش ؟ لكنني بصراحة معجب جداً لأنني أعتقد أنك توفر تلك القدرة السهلة على التركيز على أي شيء رائع ومثير
42:59للاهتمام بشكل مذهل . لقد وقعنا في فخ الاستغراق التقني مباشرة بينما كنا نستكشف ضجيج الإنترنت . لكن تأكيداً لنقطتك ، رأيت SimpleHelp في قوائم ثغرات CVE الأخيرة . كنت أتتبع أشياء N-central الغريبة التي كانت تحدث . يمكننا تماماً تشغيل هذا المستشعر لثغرة React-to-Shell أو WP-to-Shell أو أي ثغرة
43:19جديدة أو استغلال أحدث ينتشر في الوقت الحالي . ثم إن القدرة على رؤية أساليب العمل الفعلية ، والاستغلال الحقيقي ، هو أمر رائع جداً . أنا من أشد المعجبين . >> نعم ، شكراً لك . أقدر ذلك حقاً . لقد عملنا عليه لفترة طويلة ، وهو نظام رائع حقاً . >> أعني ، هناك الكثير لنتعلمه لذا أنا أقدر
43:37ذلك حقاً . أعني ، مجدداً ، ما يهم بالنسبة لي هو أنني أريد فقط جعل هذا الشيء سهل الاستخدام للغاية . أم ، وأريد التأكد من أنه ، أنه ، أنه من الواضح نوع المشاكل التي يمكن أن يحلها للناس ، وأنه يمكن ، كما تعلم ، إزالة الغموض عن هذه الأمور قليلاً ، مثل ، كما تعلم ، ما الذي ، أم ، ما الذي
43:52يحدث وما لا يحدث بالفعل على الإنترنت ، وكما تعلم ، منح الناس طريقة لاكتشاف ذلك . >> حسناً ، كيف يمكن للناس البدء ؟ كيف يمكنهم الغوص في مشروع Swarm ؟ الأمر سهل للغاية . مجرد دفع >> أنشئ حساب GreyNoise مجانياً ، واضغط على انضم إلى السرب ( join the swarm ) ، أو اذهب إلى greynoise.io/projectswarm ، ثم
44:08تدفع دولاراً واحداً ، وستحصل على إمكانية الوصول إلى مشروع Swarm . يمكنك نشر أكبر عدد تريده من المستشعرات . يمكنك تحميل ملفات التعريف الخاصة بك . يمكنك كتابة قواعدك الخاصة . يمكنك تنزيل ملفات pcap الخاصة بك . كل هذه الأنواع من الأشياء . وهو أمر ممتع للغاية . لذا ، نود أن نسمع منك عن الأشياء الجيدة أو السيئة أو
44:25التي يمكن تحسينها . كان لدينا شخص قام بعمل وحدة تحكم J-WICS وهمية ، مثل جهاز نظام سلاح سري وهمي ، كما تعلم ، من قيادة الإنترنت الأمريكية ، ووضعه هناك لنرى نوع المهاجمين الذين استهدفوه . إنه أمر مثير للاهتمام للغاية . لذا ، أجل ، نريد أن نسمع من الناس . الأشياء التي سنقوم بها في المستقبل ،
44:45سنمنح الناس القدرة على استئجار مستشعراتنا بشكل أساسي ، حتى لا تضطر إلى نشر أي شيء على الإطلاق . يمكنك ببساطة القول ، " مرحباً ، أريد وضع 100 مستشعر GreyNoise في ، كما تعلم ، فرنسا . " وسنقوم بتوفيرها لك بالسحر ثم سنقوم بإرسال الفاتورة إليك . أم ثم أم نعمل بشكل متزايد نحو القدرة على وضع البرامج الثابتة
45:04على الشبكة أيضاً . لذا ، مثل تشغيل أجهزة توجيه ضعيفة ، مودمات ضعيفة ، أجهزة تخزين متصلة بالشبكة ( NAS ) ، كاميرات IP ، وأشياء من هذا القبيل التي يمكن استغلالها حقاً . أم ثم مجدداً ، أجل ، مثل أشياء لجعل تجربة التحليل أسهل ، تجربة المحلل أسهل بحيث يمكنك بسرعة كبيرة التركيز على ، " مرحباً ،
45:23كيف تم اختراق هذا الشيء ؟ ما الذي اخترقه ؟ ثم ، كما تعلم ، ماذا يمكننا أن نفعل حيال ذلك ؟ للانتقال بسرعة من اكتشاف شيء ما قد تم اختراقه ، إلى تحديد طلب الشبكة الذي تسبب في ذلك ، وصولاً إلى كشف كل البنية التحتية التي يستخدمها المهاجم في هذه الحملة بأكملها . >> أعتقد أن الكثير من
45:42إمكانيات تحميل الملفات التي كانت لديك هي البداية الحقيقية ، لأن أروع ما في الأمر هو رؤية سلسلة الهجوم بالكامل وكل شيء يلمسه ويصيبه على طول الطريق . >> بالضبط . >> إنه أمر رائع للغاية . >> بالفعل ، وما هو رائع حقًا هو أن شركة " هانتريس " ( Huntress ) لديكم الكثير من هذه الأشياء أيضًا ، أليس كذلك ؟ لكن
46:01الفرق هو أن تلك بيانات عملاء ، هل تفهمني ؟ بالنسبة لنا ، لا يوجد لدينا مستخدمون على هذا النظام ، أليس كذلك ؟ لذا لا داعي للقلق بشأن انزعاج أي شخص من نشر أي من هذه البيانات . إنه مجرد إنترنت ، وهذه الأشياء كلها ملك لنا . لذا لا يوجد غرض مشروع لأي شخص لكي يلمس أيًا من
46:19هذه الأشياء ، أليس كذلك ؟ وبالتالي لدينا حرية مطلقة في التركيز والقيام بكل ما نريد بهذه البيانات ، وهو أمر رائع حقًا . >> يا للهول يا أندرو . يا رجل ، من الجيد جدًا أننا حظينا أخيرًا بفرصة للدردشة واللحاق ببعضنا البعض . هذا مذهل . مشروع " سوارم " ( Swarm ) رائع للغاية . إنه سهل للغاية . إنه بسيط
46:38للغاية ويمنحنا الكثير من الأشياء الممتعة لمتابعتها واستكشافها ، سأتركه يعمل ويراقب لنرى ما هي الثغرات والتقنيات التي نكتشفها ، وأريد الاستمرار في وضع المزيد من المستشعرات والملفات الشخصية على الإنترنت للحصول على رؤية ومعلومات أكثر ثراءً . شكرًا جزيلًا لك . سنترك بعض تلك الروابط أدناه ليتمكن الناس من الانضمام إلى
46:58هذه المتعة بأنفسهم ، وآمل أن يواصلوا متابعة كل الأشياء الرائعة التي تقوم بها في " غراي نويز " ( Gray Noise ) . تحية لك يا صديقي . لا أستطيع قول ذلك بما يكفي . >> شكرًا يا رجل . أقدر ذلك . كان هذا ممتعًا للغاية . شكرًا لاستضافتي . سأعود في أي وقت .