هر حمله سایبری بالاخره از یک جایی شروع میشه! مهاجم برای ورود به یک سیستم یا شبکه، باید راهی برای دسترسی پیدا کنه. این کار می‌تونه از طریق روش‌هایی مثل Phishing، سوءاستفاده از آسیب‌پذیری‌ها (Exploitation) یا استفاده از حساب‌های کاربری معتبر (Valid Accounts) انجام بشه.

در دنیای امنیت سایبری، به این مرحله Initial Access یا دسترسی اولیه میگن؛ یعنی اولین قدم مهاجم برای ورود به سیستم یا شبکه هدف.

Initial Access چیست؟

در MITRE ATT&CK ، عبارت Initial Access به مجموعه‌ای از تکنیک‌ها گفته میشه که مهاجمان برای به‌دست‌آوردن اولین دسترسی (Initial Foothold) به شبکه هدف از اون‌ها استفاده می‌کنن.

هر تکنیک، یک مسیر متفاوت برای ورود رو توصیف می‌کنه. این دسترسی ممکنه فقط محدود به یک سیستم باشه یا به مهاجم اجازه بده از طریق حساب‌های کاربری و سرویس‌های راه دور، دسترسی خودش رو حفظ کنه.

نکته: Initial Access لزوماً به معنی کنترل کامل شبکه نیست؛ بلکه فقط نشون میده مهاجم تونسته اولین جای پای خودش رو در محیط هدف پیدا کنه.

جایگاه Initial Access در چارچوب MITRE ATT&CK

در چارچوب MITRE ATT&CK، تاکتیک Initial Access با شناسه TA0001 مشخص شده و یکی از ۱۴ تاکتیک اصلی این چارچوبه.

این تاکتیک شامل روش‌هایی می‌شه که مهاجمان برای ورود اولیه به سیستم‌ها و شبکه‌ها ازشون استفاده می‌کنن. هر روش هم شناسه و توضیحات مخصوص خودش رو داره؛ مثلاً تکنیک Phishing با شناسه T1566 و Exploit Public-Facing Application با شناسه T1190 شناخته میشه.

در واقع، MITRE ATT&CK با دسته‌بندی این تکنیک‌ها کمک میکنه روش‌های ورود مهاجمان رو بهتر بشناسیم و رفتار اون‌ها رو تحلیل کنیم.

تکنیک‌های مهم در Initial Access

تاکتیک Initial Access (TA0001)  در MITRE ATT&CK شامل چندین Technique و Sub-technique مختلفه که هرکدوم روش خاصی رو برای ورود مهاجم به سیستم یا شبکه هدف توضیح می‌دن. این روش‌ها می‌تونن شامل Phishing، Exploitation، سوءاستفاده از حساب‌های کاربری معتبر و موارد دیگه باشن.

در ادامه، از بین تکنیک‌های این تاکتیک، سراغ ۵ مورد میریم که به نظرم شناختشون برای درک روش‌های مختلف Initial Access اهمیت زیادی داره.  البته Initial Access به همین ۵ تکنیک محدود نمیشه و روش‌های دیگه‌ای رو هم در بر می‌گیره؛ اما در این مطلب تمرکزمون روی همین موارد خواهد بود.

1. T1566 – Phishing (فیشینگ)

مهاجم با ارسال پیام‌های فریبنده از طریق ایمیل یا سایر بسترهای ارتباطی، سعی می‌کنه کاربر رو به باز کردن فایل مخرب، کلیک روی لینک آلوده یا افشای اطلاعات ورود ترغیب کنه. این حمله می‌تونه به‌صورت گسترده یا هدفمند (Spearphishing) انجام بشه.

2. T1190 – Exploit Public-Facing Application (سوءاستفاده از برنامه‌های در دسترس عموم)

در این روش، مهاجم با سوءاستفاده از آسیب‌پذیری‌های موجود در سرویس‌ها و برنامه‌های متصل به اینترنت، مثل وب‌سایت‌ها و وب‌سرورها، به شبکه هدف دسترسی پیدا می‌کنه. این ضعف‌ها می‌تونن ناشی از باگ نرم‌افزاری یا پیکربندی نادرست (Misconfiguration) باشن.

3. T1133 – External Remote Services (سرویس‌های دسترسی از راه دور)

مهاجم از سرویس‌هایی مثل VPN، Citrix و VNC برای ورود به شبکه سازمان استفاده می‌کنه. سرویس‌هایی که در صورت ضعف در احراز هویت یا پیکربندی امنیتی، می‌تونن به نقطه ورود مهاجم تبدیل بشن.

4. T1195 – Supply Chain Compromise (به خطر انداختن زنجیره تأمین)

در این تکنیک، مهاجم محصولات یا فرایندهای زنجیره تأمین رو پیش از رسیدن به مصرف‌کننده نهایی دست‌کاری می‌کنه. برای مثال، ممکنه کد مخرب رو وارد یک نرم‌افزار یا به‌روزرسانی رسمی کنه تا سیستم‌های دریافت‌کننده آلوده بشن.

5. T1078 – Valid Accounts (حساب‌های کاربری معتبر)

در این روش، مهاجم با استفاده از اطلاعات احراز هویت (Credentials) حساب‌های واقعی، مثل نام کاربری و رمز عبور سرقت‌شده، وارد سیستم یا شبکه می‌شه. چون دسترسی از طریق یک حساب معتبر انجام می‌شه، تشخیص فعالیت مهاجم می‌تونه دشوارتر باشه.

روش‌های شناسایی حملات Initial Access (Detection)

شناسایی حملات Initial Access نیازمند بررسی مداوم فعالیت‌های شبکه، لاگ‌های سیستم و رفتار کاربران هست. تیم‌های امنیتی می‌تونن با استفاده از ابزارهایی مثل SIEM، EDR و IDS/IPS فعالیت‌های مشکوک رو شناسایی کنن.

برخی از مهم‌ترین مواردی که باید بررسی بشن:

– Email Monitoring: شناسایی ایمیل‌های مشکوک، لینک‌های مخرب و فایل‌های پیوست آلوده.

– Network Monitoring: بررسی ترافیک غیرعادی و ارتباطات مشکوک با سرویس‌های خارجی.

– Authentication Logs: شناسایی ورودهای ناموفق، ورود از موقعیت‌های غیرمعمول و استفاده مشکوک از حساب‌های کاربری.

– Vulnerability Monitoring: شناسایی تلاش برای Exploit کردن آسیب‌پذیری‌های سرویس‌های در دسترس از اینترنت.

هدف از این بررسی‌ها، شناسایی تلاش‌های اولیه مهاجم پیش از گسترش دسترسی و اجرای مراحل بعدی حمله است.

نکته برای تیم‌های SOC:

تحلیلگران SOC نباید هر Alert رو به‌صورت جداگانه بررسی کنن. ارتباط دادن رویدادهای مشکوک در Email Logs، Authentication Logs و Network Traffic می‌تونه به شناسایی الگوی حمله کمک کنه. همچنین تطبیق این رویدادها با تکنیک‌های MITRE ATT&CK باعث می‌شه تحلیلگر دید دقیق‌تری نسبت به روش ورود مهاجم و مراحل بعدی حمله داشته باشه.

کلام اخر Initial Access یکی از مراحل مهم در زنجیره حمله سایبریه که نشون میده مهاجم از چه مسیری وارد سیستم یا شبکه هدف میشه. شناخت تکنیک‌های این تاکتیک در MITRE ATT&CK کمک می‌کنه دید بهتری نسبت به روش‌های نفوذ مهاجمان داشته باشیم و نقاط ضعف احتمالی در زیرساخت رو راحت‌تر شناسایی کنیم.

البته Initial Access فقط به ورود اولیه محدود نمیشه؛ این مرحله می‌تونه زمینه‌ساز فعالیت‌های بعدی مهاجم، مثل Persistence، Privilege Escalation و Lateral Movement باشه. به همین دلیل، شناخت و تحلیل این تکنیک‌ها نقش مهمی در بهبود امنیت شبکه و سیستم‌ها داره.