מה זה Living Off The Land?
Living Off The Land או LOTL היא שיטת תקיפה העושה שימוש בכלים לגיטימיים המובנים במערכת ההפעלה או בתשתית הארגון,
כדי להישאר מתחת לרדאר של מערכות הגנה מסורתיות.
שיטה זו הופכת נפוצה יותר ויותר כיוון שהיא מנצלת את הקושי להבדיל בין פעילות ניהולית לגיטימית לבין ניצולה למטרות זדוניות.
הגנה יעילה מפני LOTL דורשת גישה רב-שכבתית הכוללת הקשחת הרשאות, הטמעת מערכות ניטור מבוססות התנהגות,
הפרדת רשתות והכשרת עובדים.
בעתיד, ניתן לצפות שהגיוון והדינמיות של שיטות Living Off The Land ימשיכו להתפתח,
ולכן ארגונים ייאלצו להתמודד עם התקפות מתוחכמות יותר ויותר המשלבות כלים סטנדרטיים בהתנהגות זדונית.
מניעה וגילוי מוקדם של פעילויות אלו הוא המפתח לשמירה על סביבה מאובטחת ויציבה.
בעולם אבטחת המידע המודרני, שבו האיומים הופכים מתוחכמים יותר ויותר,
תוקפים נדרשים למצוא דרכים יצירתיות להסוות את פעולותיהם ולהתגבר על שכבות ההגנה והאיתור.
אחד המונחים המייצגים את הגישה הזו הוא Living Off The Land (בקיצור: LOTL) – אסטרטגיה שמאפשרת לתוקף לעשות שימוש
בכלים הקיימים באופן מובנה במערכת ההפעלה או בתשתית הארגונית, במקום להחדיר כלים או נוזקות ייעודיות מבחוץ.
במאמר זה נעמיק בעקרונות השיטה, נדון בדוגמאות שכיחות ליישומה, ונבחן דרכי התגוננות אפשריות.
רקע והגדרה של LOTL
Living Off The Land הוא מושג המתאר סיטואציה שבה תוקף “חי” או פועל רק בעזרת משאבי המערכת או הרשת הקיימים
בלא להידרש להחדרת קוד זדוני גלוי או תוכנות בעלות חתימה זרה.
במקום להשתמש בכלי תקיפה מפוקפקים שעלולים להדליק התראות במערכות אנטי-וירוס או EDR (Endpoint Detection and Response),
התוקף עושה שימוש בכלים מובנים וחוקיים, כגון Powershell או WMI (Windows Management Instrumentation) במערכות Windows,
פקודות Bash/Linux מובנות ועוד.
מטרת השיטה היא להימנע מזיהוי, לעקוף בקרות אבטחה ולתחזק נוכחות ממושכת ברשת הארגונית.
החשיבות העולה של LOTL
בעבר, רוב התקיפות התבססו על נוזקות או קבצים זדוניים שהוחדרו למערכות היעד.
עם הזמן התפתחו מנגנוני ההגנה שהקשו על הפצתו של קוד זדוני חיצוני.
מערכות אנטי-וירוס, פתרונות XDR (Extended Detection and Response),
חומות אש חכמות ומנגנוני סינון מבוססי התנהגות, כולם הקשו על התוקפים לשמור על תקשורת עוינת גלויה.
כדי לעקוף מגבלות אלו, תוקפים רבים החלו לאמץ את אסטרטגיית ה-LOTL, המנצלת את העובדה שכלים מובנים כמו powershell.exe, cmd.exe
או wscript.exe כבר נחשבים למאושרים ומהימנים ברוב הארגונים.
כך ניתן לבצע פקודות ושאילתות ברמת המשתמש או המערכת מבלי לעורר חשד מיידי.
דוגמאות נפוצות ל-LOTL
Powershell
Powershell הוא כלי חזק לניהול מערכות Windows.
באמצעותו, אפשר לבצע סקריפטים אוטומטיים, לשלוף מידע ולנהל פרויקטי DevOps.
התכונות הללו הופכות אותו גם לכלי עוצמתי לתוקפים:
הפעלת סקריפטים זדוניים “על הדרך” (Fileless Malware), ללא כתיבת קבצים לדיסק.
גישה למידע רגיש כגון סיסמאות שמורות או טוקנים בתהליכי מערכת.
הורדת והעלאת קוד ממקור חיצוני תוך שימוש בפרוטוקולי HTTPS או HTTP.
WMI (Windows Management Instrumentation)
כלי ניהולי נוסף המובנה ב-Windows, המשמש לאיסוף מידע וניהול תחנות קצה.
תוקף שמנצל WMI יכול להפעיל פקודות מרחוק על מחשבים ברשת, לאסוף מידע על גרסאות מערכת ההפעלה,
לתזמן משימות ועוד – הכול באמצעות ממשק חוקי לחלוטין.
SSH ופקודות Bash בסביבת לינוקס
בסביבות Linux/Unix, תוקפים יכולים להשתמש בפקודות Bash, בסקריפטים שכבר קיימים על המערכת,
או בכלים נפוצים (למשל curl, wget, scp) כדי לשנע מידע, להעלות ולהוריד קבצים, ולהריץ פקודות ניהול.
שימוש בפרוטוקולים פנימיים ו-PsExec
כלים דוגמת PsExec (מבית Microsoft Sysinternals) מאפשרים הרצת פקודות מרחוק על מחשבים ברשת Windows.
במקרים רבים הם מותקנים באופן חוקי לצרכי ניהול, כך שתוקפים מנצלים את נוכחותם להתרחבות רוחבית
(לטרלית) בארגון.
הסיכונים והאתגרים בשיטות Living Off The Land
קושי בזיהוי
מערכות ההגנה מתקשות להבחין בין שימוש לגיטימי בכלי ניהול פנימיים לבין שימוש זדוני בהם,
מכיוון שהפעילות החיצונית נראית כחלק משגרת הפעילות הארגונית.
ניצול גישה מורשית
ברגע שתוקף מצליח להשיג הרשאות משתמש או מנהל (Credentials),
הוא יכול להשתמש בכלים מובנים לביצוע מגוון פעולות פוגעניות, תוך התחזות למשתמש לגיטימי.
נוכחות ממושכת (Persistence)
תוקף המשתמש בכלים קיימים יכול להישאר במערכת לזמן ממושך לפני שיגלו אותו,
כיוון שההתנהגות שלו מסתווה בפעילות הארגונית השוטפת.
הדבר מאפשר איסוף מודיעין, תכנון מתקפות נוספות או גניבת מידע רגיש לאורך זמן.
מתקפות שרשרת מורכבות
תוקפים משלבים שימוש בכלי מובנה אחד עם כלי מובנה אחר, תוך מעבר בין מערכות ההפעלה השונות בארגון,
ובהתאם להרשאות שאליהן הצליחו להגיע.
כך נוצרת “שרשרת” תקיפה מורכבת שקשה להתחקות אחריה.
דרכי התגוננות מפני LOTL
הקשחת כלי הניהול והגבלת הגישה
מומלץ להגביל את ההרשאות והגישה לכלים כמו Powershell ו-WMI, כך שרק משתמשים ספציפיים יורשו להשתמש בהם.
ניתן להשתמש במדיניות Group Policy (GPO) ב-Windows כדי להגביל פעילות Powershell
או לנהל ולהפיץ גרסאות מאובטחות (למשל Constrained Language Mode).
הטמעת פתרונות מבוססי התנהגות (Behavior-based Detection)
כדאי לפרוס מערכות אבטחה שיודעות לזהות התנהגות חריגה
(הפעלת סקריפטים חשודים, ניסיון לתקשר עם שרתים חיצוניים מזוהים כחשודים, ניהול תהליכי מערכת א-נורמליים וכו’).
פתרונות EDR מתקדמים יכולים לזהות אם למשל powershell.exe מופעל באופן שאינו אופייני או עם פרמטרים חריגים.
תיעוד וביקורת (Logging & Auditing) מוגברים
מומלץ להגביר את רמת הרישום של הפעולות במערכת (Logs) ולהשתמש בכלי
SIEM (Security Information and Event Management) כדי לנתח את הלוגים הללו בזמן אמת.
תיעוד מקיף של פקודות Powershell, תהליכי WMI וכניסות משתמשים יכול לסייע רבות בזיהוי התקפות LOTL.
הפרדת רשתות והקשחת תחנות קצה (Segmentation & Hardening)
הפרדת רשתות: חלוקת הרשת למקטעים (Segmentation) כך שהגישה בין חלקים שונים בארגון מוגבלת ומבוקרת.
באופן זה תוקף שהשיג דריסת רגל בחלק אחד של הרשת יתקשה להתפשט לשאר החלקים.
הקשחת תחנות קצה: ביטול או הגבלת שירותים לא נחוצים, עדכוני תוכנה וקביעת מדיניות סיסמאות מחמירה יכולים
לצמצם משמעותית את שטח התקיפה.
אימון מודעות אבטחה (Security Awareness Training)
הענקת הכשרה לעובדים ולאנשי IT יכולה לסייע בזיהוי תקלות, התנהגויות חשודות או דליפות מידע מהארגון.
מודעות לעבודה נכונה עם כלי ניהול, מניעת הקלדת סיסמאות באתרים או כלים חשודים, ועוד – כל אלו יסייעו בצמצום
יכולתם של התוקפים לנצל הרשאות פנימיות.
מבט לעתיד של LOTL
ככל שמערכות ההגנה הופכות מתקדמות ו”חכמות” יותר בזיהוי נוזקות וקבצים זדוניים, כך מתרבים ניסיונות התוקפים
לפעול בשיטות Living Off The Land.
מגמה זו צפויה להתגבר עם הזמן, לצד התרחבות השימוש בתשתיות ענן ו-IoT,
שפותחות שדות תקיפה חדשים.
לפיכך, ארגונים חייבים לשים דגש רב יותר על זיהוי התנהגות חריגה, הגבלת גישה לכלים מובנים,
ויישום מדיניות אבטחה הוליסטית בכל שכבות הרשת.
