Kada počnete primjećivati čudne veze, otvorene portove iz nepoznatih izvora ili nasumične neuspješne pokušaje prijave, poznavanje načina blokiranja sumnjivih veza iz komandne linije i zaštitnog zida prelazi iz nečega "za stručnjake" u neophodnost. Pomoću nekoliko dobro korištenih komandi možete zaustaviti napade, smanjiti opterećenje servera i dobiti značajan uvid u ono što se događa na vašoj mreži.
Na Windowsu, Linuxu, pa čak i na sigurnosnim uređajima poput FortiGatea, imate izvorne alate za praćenje prometa, identifikaciju zlonamjernih procesa i blokiranje IP adresa, raspona ili protokola . Trik je u njihovom efikasnom kombinovanju: prvo, otkrijte probleme sa netstatom, logovima i praćenjem; zatim, odgovorite blokiranjem iz komandne linije, korištenjem zaštitnog zida ili direktnom izolacijom uređaja ako stvari izmaknu kontroli.
Netstat i CMD: prvi radar koji otkriva sumnjive veze
Naredba netstat je klasična za reviziju veza u Windowsu, Linuxu i drugim sistemima poput macOS-a ili Unixa, i iako postoji još od 90-ih, i dalje je vrlo korisna za saznanje šta se povezuje s čim na vašem računaru ili serveru.
Njegovo ime potiče od riječi Mreža i statistika, što prilično dobro sažima njegovu funkciju: pruža vam statistiku mreže, tabelu usmjeravanja, otvorene portove i aktivne veze , i dolazne i odlazne. Ključan je ako želite precizno odrediti koji proces drži port na čekanju, gdje se povezuje neuobičajena usluga ili ako postoji veliki broj veza koje nemaju smisla.
Alat nema grafički interfejs; radi iz komandne linije ili terminala, zbog čega se široko koristi u serverskim okruženjima i forenzičkoj analizi incidenata . Zauzvrat, nudi nivo detalja koji se rijetko nalazi u "lijepim" uslužnim programima i omogućava vam da otkrijete zlonamjerni softver koji zavisi od određenih portova ili veza sa sumnjivim udaljenim hostovima.
Prije donošenja zaključaka pomoću netstata, preporučljivo je zatvoriti nepotrebne programe ili čak ponovo pokrenuti računar i otvoriti samo ono što je neophodno, jer to smanjuje buku od legitimnih veza (preglednik, klijenti za chat itd.) i, ako je potrebno, provjeriti koliko je uređaja povezano kako biste dobili jasniju sliku o tome šta vas zaista zanima.
Osim toga, netstat održava tabelu usmjeravanja i statistiku po protokolu koja vam pomaže da vidite greške, odbačene pakete i zagušenje . Ako pokušavate razumjeti usko grlo ili djelomični prekid usluge, to je važan dio slagalice.
Više korisnih netstat opcija za traženje neobičnih konekcija
Na Windowsu, netstat možete pokrenuti iz CMD-a ili modernog Terminala, a na Linuxu iz bilo koje konzole. Tipična sintaksa na Windowsu je nešto poput netstat-a , kombinirajući parametre ovisno o tome što želite vidjeti.
Jednostavnim kucanjem `netstat` i pritiskom na Enter dobit ćete osnovnu listu aktivnih veza: protokol (TCP/UDP), lokalnu adresu s portom, udaljenu adresu i status (LISTENING, ESTABLISHED, TIME_WAIT, itd.). S ovim informacijama možete početi locirati veze s nepoznatim IP adresama ili portovima koje nikada prije niste vidjeli.
Za rad u numeričkom režimu (bez pokušaja razrješenja DNS imena), obično možete koristiti `netstat -n` , koji prikazuje neprevedene IP adrese i brojeve portova. Ovo čini izlaz bržim i jasnijim kada upoređujete sumnjive IP adrese sa crnim listama ili zapisnicima zaštitnog zida.
Ako želite da se informacije osvježavaju svakih X sekundi, možete dodati broj na kraj, na primjer, `netstat -n 7` da biste ponavljali izlaz svakih 7 sekundi. To je jednostavan način da imate neku vrstu "monitora" iz komandne linije bez korištenja vanjskih alata.
Netstat postaje posebno koristan za traženje čudnih aktivnosti u naprednim parametrima, koji vam omogućavaju filtriranje po protokolu, pregled povezanih PID-ova, statistike ili ruta :
- netstat -a: prikazuje sve veze i portove za slušanje (aktivne i neaktivne).
- netstat -e: prikazuje statistiku prometa (poslani/primljeni bajtovi, greške, odbačene poruke).
- netstat -f: razrješava i prikazuje FQDN (potpuno kvalificirano ime domene) udaljenih hostova.
- netstat -n: prikazuje IP adrese i portove u numeričkom formatu.
- netstat -o: označava PID procesa koji koristi svaku vezu, ključan za unakrsno referenciranje s Upraviteljem zadataka.
- netstat -p X: filteri po protokolu (TCP, UDP, TCPv4, TCPv6...).
- netstat -q: lista povezanih portova za slušanje i onih koji ne slušaju.
- netstat -sStatistike grupirane po protokolu (TCP, UDP, ICMP, IPv4, IPv6).
- netstat -r: prikazuje trenutnu tabelu usmjeravanja.
- netstat -t: fokusirano na veze u procesu preuzimanja.
- netstat -xInformacije o NetworkDirect vezama.
Vrlo uobičajen alat za provjeru osnovne sigurnosti je `netstat -ano` , koji kombinira nekoliko ovih opcija: vidite sve aktivne veze s njihovim IP adresama, portovima i ID-ovima procesa. Odatle možete locirati sumnjive procese u Upravitelju zadataka ili pomoću alata poput TCPViewa i odlučiti hoćete li ih blokirati pomoću zaštitnog zida ili ih deinstalirati.
Također je vrlo praktično filtrirati status pomoću funkcije findstr, na primjer netstat | findstr ESTABLISHED da biste vidjeli samo uspostavljene veze, ili promijeniti ESTABLISHED u LISTENING, CLOSE_WAIT, TIME_WAIT, itd., kada istražujete curenje resursa ili zombi veze.
Prednosti, ograničenja i utjecaj netstata na performanse
Netstat je odličan jer vam daje prilično direktan uvid u to koji su portovi i veze aktivni na računaru, što je neprocjenjivo za administratora ili analitičara. Omogućava vam praćenje prometa, praćenje sesija, izvršavanje procjena performansi i relativno brzo otkrivanje neovlaštenih veza ili sumnjivog ponašanja.
Zahvaljujući statistici, možete otkriti abnormalne skokove u određenim protokolima ili povećanje broja grešaka , što često ukazuje na zagušenje, skeniranje portova, pokušaje grube sile ili pogrešno konfiguriran zlonamjerni softver. A budući da je to izvorni uslužni program, ne morate ništa instalirati na Windows ili mnoge Linux distribucije.
Međutim, ima i svoje nedostatke. Za početak, izlaz može biti prilično gust i zagonetan ako niste navikli interpretirati veze, stanja i portove. Za netehničkog korisnika, krivulja učenja nije baš glatka i vjerovatno će na kraju koristiti programe s grafičkim interfejsom.
Druga stvar je da netstat, sam po sebi, ništa ne šifrira, ne blokira ništa niti vrši dubinsku analizu : on jednostavno prikazuje informacije. Da biste te podatke pretvorili u pravu odbranu, potrebno je da ga dopunite zaštitnim zidovima (firewall), EDR sistemima, IDS/IPS-om i drugim alatima.
Ne skalira se posebno dobro u ogromnim mrežama ili okruženjima sa hiljadama istovremenih konekcija. U modernim infrastrukturama, često je sveden na sporednu ulogu u poređenju sa rješenjima poput naprednog PowerShella, SNMP-a, ss u Linuxu ili moćnijih grafičkih preglednika.
Što se tiče performansi, sama komanda neće "slomiti" sistem, ali ako je izvršavate kontinuirano, s mnogo parametara i na mašinama s hiljadama konekcija , može primjetno potrošiti CPU i memoriju. Preporuka je da se koristi samo povremeno, s određenim filterima i bez stalnog osvježavanja u vrlo kratkim intervalima.
Zahvaljujući svom nivou detalja, netstat vam čak pomaže u otkrivanju zlonamjernog softvera koji se ponaša kao rootkit ili skriva procese iza neobičnih veza.
Kako preći s detekcije na blokiranje: Windows zaštitni zid i blokiranje IP adresa
Nakon što ste identificirali sumnjive veze ili IP adrese pomoću netstata ili logova, sljedeći logičan korak je korištenje Windows zaštitnog zida (Firewall-a) za blokiranje tih sumnjivih IP adresa . Ovo prekida promet na izvoru i štedi resurse na serveru ili računaru.
Tipičan proces za blokiranje određene IP adrese u Windowsu je kreiranje prilagođenog pravila za dolazni promet :
- Otvorite Windows zaštitni zid s naprednom sigurnošću i kliknite na "Novo pravilo".
- Odaberite "Prilagođeno" kako biste mogli pravilno definirati promet koji želite blokirati.
- Navedite "Svi programi" ako želite da pravilo utiče na bilo koju aplikaciju.
- U odjeljku "Protokol i portovi" ostavite "Bilo koji" osim ako ne želite nešto vrlo specifično.
- U polje „Opseg“ dodajte izvornu IP adresu ili IP raspon koji želite blokirati.
- Odaberite "Blokiraj vezu" kao zadanu radnju.
- Odlučite na koje se profile odnosi (domen, privatni i javni, obično sva tri).
- Dajte mu prepoznatljivo ime, na primjer Blokiranje_sumnjive_IP_adresei sačuvaj.
Ovo će spriječiti blokiranje bilo kakvih pokušaja povezivanja s te IP adrese. Ovo je posebno korisno kada napadač više puta pokušava pristupiti vašoj web stranici, pokreće male DDoS napade ili pokušava testirati vjerodajnice u odnosu na administratorske panele.
Ako umjesto blokiranja pristupa sa vašeg sistema želite direktno blokirati pristup web stranici koja se nalazi na serveru, druga opcija je korištenje .htaccess datoteke u kontrolnim panelima poput Pleska . Tamo možete dodati pravila kao što su:
Order Allow,Deny
Deny from 192.168.xx.x
Allow from all
i ponovite liniju Zabrani za svaku dodatnu IP adresu. Ovo osigurava da kada korisnici pokušaju pristupiti vašoj web stranici s tih IP adresa, vide samo grešku i ne troše resurse aplikacije ili baze podataka.
Također se možete igrati s geoblokiranjem država putem .htaccess datoteke kada server to dozvoljava, preusmjeravajući određeni promet (na primjer, iz države iz koje primate samo napade) na stranicu s greškom koristeći RewriteCond pravila s GEOIP kodom države.
Blokiranje IP adresa i raspona iz CMD-a i mrežnih alata
U nekim okruženjima, posebno na Linux serverima ili sistemima gdje gotovo uvijek radite u konzoli, direktnije je koristiti komande za usmjeravanje ili zaštitni zid iz terminala kako biste blokirali promet s problematične IP adrese.
Korištenjem naredbe `route` na Unix-sličnim sistemima, možete dodati rute koje u suštini "preplavljuju" promet prema određenom hostu. Na primjer:
route add -host 24.92.120.34 reject
Ova naredba će odbiti svaki pokušaj pristupa toj IP adresi. Ako želite vidjeti šta je blokirano ili kako izgleda tabela usmjeravanja, možete koristiti `route -n` , koja će prikazati aktivne numerisane rute.
Ako u bilo kojem trenutku trebate poništiti zaključavanje , jednostavno pokrenite:
route del 24.92.120.34 reject
Kada govorimo o punim rasponima , možemo koristiti nešto poput:
ip route add blackhole 22.118.20.0/24
Ovo stvara "crnu rupu" za cijelu podmrežu, uzrokujući da se paketi namijenjeni tim adresama odbacuju bez odgovora . Vrlo je korisno protiv masovnih distribuiranih napada koji potiču iz određenog raspona ili za zaustavljanje masovne neželjene pošte s grupa IP adresa.
Da biste izbjegli da idete na slijepo, preporučljivo je koristiti kalkulatore IP raspona kako biste tačno znali koliko i koje blokirate, posebno ako imate posla sa podmrežama s maskama koje su nešto složenije od /24.
Blokirajte VPN veze i udaljeni pristup sa sumnjivih IP adresa
SSL VPN-ovi su glavna meta napadača jer, ako uspiju ući, dajete im gotovo direktan pristup vašoj internoj mreži . Uređaji poput FortiGate-a vam omogućavaju da ograničite koje se IP adrese mogu povezati na VPN, a to je vrlo koristan dodatni sloj odbrane.
Tipičan pristup je kreiranje adresne grupe tipa "crne liste" (npr. blacklistipp) na FortiGate-u gdje dodajete javne IP adrese koje su pokušale napade grubom silom ili su se čudno ponašale u VPN zapisima.
Zatim, u konzoli zaštitnog zida (firewall) , prilagodite postavke SSL VPN-a pomoću:
- Konfiguracija VPN SSL postavki
- postavite izvornu adresu „blacklistipp“
- omogući negiranje izvorne adrese
- pokazati da provjeri primijenjenu konfiguraciju.
S ovom postavkom, svaki pokušaj povezivanja s IP adrese uključene u tu grupu bit će odbijen od samog početka , bez ikakve dozvole korisniku da unese svoje korisničko ime i lozinku, što znatno smanjuje potrošnju resursa i površinu za napad.
Također možete raditi iz grafičkog interfejsa konfiguriranjem "Ograniči pristup" i ograničavanjem na određene hostove, iako u tom načinu rada korisnik unosi vjerodajnice, a veza se zatim prekida, što je manje efikasno sa stanovišta ranog ublažavanja rizika.
Da biste provjerili da li blokiranje radi, možete koristiti dijagnostičke naredbe kao što je diagnostic sniffer packet filtering by VPN IP and port ili provjeriti get vpn ssl monitor da biste vidjeli koje su veze uspostavljene, a koje blokirane.
Napredna odbrana: izolacija uređaja i identiteta
Kada je situacija zaista ozbiljna (ransomware, lateralno kretanje, krađa podataka), nije dovoljno zatvoriti port ili blokirati određenu IP adresu: ponekad je potrebno potpuno izolovati kompromitovani uređaj ili čak identitet.
Microsoft Defender za krajnje tačke integriše akcije brzog odgovora na nivou uređaja: možete označiti računare, pokrenuti automatizovane istrage, otvoriti sesije udaljenog odgovora uživo, prikupiti kompletne pakete za istragu i pokrenuti detaljna antivirusna skeniranja iz centralne konzole.
Paket za istraživanje Windowsa uključuje informacije kao što su pokretanja registra, instalirani programi, aktivne mrežne veze, ARP keš memorija, DNS, TCP/IP konfiguracija, zapisnici zaštitnog zida, prethodno dohvaćanje, procesi, planirani zadaci, sigurnosni zapisnik, usluge, SMB sesije, sistemske informacije i privremeni direktoriji . Sve ovo je sažeto u strukturu foldera i sažeti izvještaj (CollectionSummaryReport.xls).
macOS i Linux prikupljaju nešto slično: instalirane aplikacije, volumene diskova, mrežne veze, procese, servise, sigurnosne informacije, korisnike i grupe itd., što omogućava prilično dobru rekonstrukciju scenarija napada .
Jedna posebno moćna akcija je izolacija uređaja : pogođeni uređaj se isključuje s mreže (osim neophodne komunikacije sa sigurnosnom uslugom u oblaku) kako bi se spriječilo napadaču da nastavi da se kreće ili curi podatke. Potpuna izolacija i selektivna izolacija (koja omogućava, na primjer, da Outlook i Teams nastave funkcionisati) dostupne su u različitim verzijama Windowsa, macOS-a i Linuxa, podložno određenim zahtjevima za iptables i kernel.
Paralelno s tim, postoji opcija zadržavanja neupravljanih uređaja putem njihove IP adrese: Uređaji zaštićeni Defender-om blokiraju sav dolazni ili odlazni promet prema toj adresi, usporavajući širenje s "otoka" mreže gdje još uvijek nema raspoređenog sigurnosnog agenta.
Sam korisnik ili sumnjivi entitet također može biti obuzdan : blokiraju se prijave na mrežu, RDP, SMB i RPC, prekidaju se tekuće udaljene sesije i sprječava se lateralno kretanje. Ovo obuzdavanje se obično aktivira automatski korištenjem logike prekidanja napada i prediktivne zaštite, a može se poništiti iz Centra za akcije nakon što se incident riješi.
Zaštitni zid na Linuxu: UFW, firewalld i iptables za zaustavljanje zlonamjernog prometa
Na Linux serverima, ključ za blokiranje neobičnih konekcija je sistemski zaštitni zid (firewall), obično zasnovan na iptables/nftables, sa slojevima upravljanja poput UFW ili firewalld kako bi bio jednostavniji za korištenje.
U Ubuntuu i mnogim kompatibilnim distribucijama, UFW (Uncomplicated Firewall) znatno pojednostavljuje stvari. Možete ga instalirati pomoću `sudo apt install ufw` , provjeriti njegov status pomoću `sudo ufw status` i omogućiti ga pomoću `sudo ufw enable` . Podrazumevano, obično blokira sav dolazni saobraćaj i dozvoljava odlazni saobraćaj, što je već prilično siguran pristup.
Za definiranje osnovnih pravila koriste se naredbe poput sljedećih:
sudo ufw default deny incoming
sudo ufw default allow outgoing
Zatim možete dozvoliti određene servise: na primjer, `sudo ufw allow ssh` za otvaranje porta 22 ili `sudo ufw allow 2222/tcp` ako koristite nestandardni SSH port. Da biste blokirali servis, nešto poput ` sudo ufw deny 80` zatvara HTTP port.
Ako imate pouzdanu IP adresu ili, obrnuto, želite blokirati određenu adresu, možete koristiti pravila poput ` sudo ufw allow from <ip_address> ` ili `sudo ufw deny from <ip_address> `, pa čak i fino podesiti pomoću `to any port <port_number>` kako biste povezali blok s određenim portom.
Pravila se mogu navesti u numeriranom obliku pomoću naredbe `sudo ufw status numbered` i izbrisati pomoću naredbe `sudo ufw delete <broj_pravila>` , što olakšava prilagođavanje pravila na osnovu onoga što vidite u logovima i alatima poput netstata, ss ili iftopa.
Olakšajte pristup: korisnicima, SSH-u i autentifikaciji
Blokiranje sumnjivih veza je odlično, ali je podjednako važno smanjiti površinu napada ograničavanjem ko može pristupiti sistemu i kako . Tu do izražaja dolaze upravljanje korisnicima, SSH i jaka autentifikacija.
U Linuxu, svaki korisnički račun s pristupom serveru predstavlja potencijalni vektor napada ako se ne upravlja pravilno. Računi se kreiraju pomoću `useradd` , lozinke se dodjeljuju pomoću `passwd` , a dozvole i grupe se podešavaju alatima poput `chown` i `chmod` kako bi se spriječio neovlašteni pristup.
Za jačanje SSH-a, najbolje je koristiti javne/privatne ključeve umjesto lozinki . Generirate svoj par ključeva pomoću `ssh-keygen` , prihvatite ili definirajte putanju pohrane i, ako želite dodatni sloj sigurnosti, dodajte lozinku. Zatim šaljete javni ključ serveru pomoću `ssh-copy-id user@host` , i od tada se možete prijaviti s `ssh user@host` koristeći svoj ključ.
Nakon što proradi autentifikacija ključa, dobra je praksa onemogućiti prijavu lozinkom u datoteci /etc/ssh/sshd_config promjenom direktive PasswordAuthentication na "no" i ponovnim pokretanjem servisa pomoću systemctl restart ssh . Na ovaj način, napadač neće moći izvršiti bruteforce pokušaje unosa lozinke jer server neće ni prihvatiti tu metodu.
Ako ovome dodate dvofaktorsku autentifikaciju na kritičnim servisima, rotaciju lozinki i račune s minimalnim privilegijama, drastično smanjujete šanse da sumnjiva veza prođe kroz nekoliko neuspjelih pokušaja.
Zapisi i praćenje: bez vidljivosti nema ni efikasnog blokiranja
Nijedna strategija blokiranja ne funkcioniše dobro bez pristojnih zapisa revizije i barem nekog praćenja . Morate vidjeti šta se dešava kako biste reagovali na vrijeme i, ako je potrebno, rekonstruisali šta se dogodilo nakon incidenta.
U Linuxu, većina sistemskih logova je koncentrisana u /var/log : poruke kernela, autentifikacija, mrežne usluge, sistemski daemoni... Ponašanje i format gotovo uvijek kontroliše rsyslog (ili varijante), konfigurisan u datotekama kao što je /etc/rsyslog.conf ili u datotekama unutar /etc/rsyslog.d/.
Odatle možete podesiti koje vrste događaja se zapisuju, njihov nivo ozbiljnosti i u koju datoteku se spremaju. Također je moguće slati zapise na centralizovani server radi bolje analize i sprječavanja napadača da ih lako izbriše na kompromitovanom računaru.
Ravnoteža je važna: zapisivanje apsolutno svega može popuniti disk i onemogućiti filtriranje korisnih informacija , dok zapisivanje vrlo malog broja podataka ostavlja opasne praznine. Zato mnogi ljudi kombiniraju detaljno zapisivanje za kritične servise (SSH, zaštitni zid, autentifikacija) s lakšim zapisivanjem za manje osjetljive komponente.
Za analizu možete koristiti naredbe poput grep, awk ili manje, ali u srednjim i velikim okruženjima normalno je koristiti SIEM alate ili stekove poput ELK, Splunk ili sličnih , koji vam omogućavaju korelaciju događaja, otkrivanje obrazaca napada i generiranje upozorenja u stvarnom vremenu.
U Windowsu se nešto slično radi s Preglednikom događaja, zapisnicima Windows Defendera, zaštitnim zidom i, na naprednijem nivou, s rješenjima poput Microsoft Defender XDR-a koja već integriraju sav taj tok i unakrsno ga povezuju s obavještajnim podacima o prijetnjama.
Kombiniranje netstata i drugih mrežnih uslužnih programa za otkrivanje sumnjivog prometa, jačanje zaštitnog zida (na Windowsu, Linuxu ili namjenskim uređajima), pravilno upravljanje korisnicima i SSH-om te korištenje naprednih mogućnosti poput izolacije uređaja ili zadržavanja IP adresa i računa, stavlja vas u mnogo jači položaj: sumnjive veze prestaju biti ponavljajuća prijetnja i postaju događaji koje možete brzo identificirati, blokirati iz CMD-a ili sigurnosnih panela i mirno analizirati kako biste postepeno poboljšali obranu cijele vaše infrastrukture.
