<h2>What is Pivoting?</h2>

Pivoting is a technique used by attackers to move deeper within a network after initial access. It is typically executed during the Post-Exploitation phase and involves using a compromised device as a launching pad to access other parts of the network that are not directly accessible from the attacker&#39;s original position. Pivoting is often employed to bypass network segmentation or internal firewalls.

Pivoting is crucial in advanced cyber attacks, such as those carried out by Advanced Persistent Threats (APT). Understanding how pivoting works allows Security Operations Centers (SOC) and threat hunters to better secure their networks and anticipate potential attack paths. By applying strong security practices, organizations can make it significantly harder for attackers to successfully pivot within their networks. 
&nbsp;

<h2>How is Pivoting Applied?</h2>

1. Initial Compromise: The attacker exploits a vulnerability in a device within the target network. This can be done through various means, such as phishing, exploiting security vulnerabilities, or using stolen credentials.

2. Establishing a Foothold: After gaining access, the attacker implants malware, such as a backdoor or rootkit, to maintain control over the compromised device.

3. Information Gathering: The attacker performs reconnaissance to explore the network and gather as much information as possible, such as network topology and potential targets. This helps identify valuable systems or data to target next.

4. Pivoting: The attacker uses the compromised device to explore and access other systems within the network. Some techniques that might be used include:

4.1 Proxy Pivoting: The attacker uses the compromised device as a proxy server to hide their true origin, making it appear as though the attacks are coming from within the network. 
&nbsp;

<h2>Example Scenario:</h2>

<ol>
	<li>The attacker wants to communicate with a server but is blocked by a firewall.</li>
	<li>There is a victim&#39;s device that can access the server.</li>
	<li>The attacker compromises the victim&#39;s device and opens a listening session through a proxy using the HTTP protocol on any port. The victim&#39;s device then acts as a bridge between the attacker and the server, as well as the rest of the internal network.</li>
</ol>

<img alt="" src="/media/blog/2024/08/26/im1.png" style="height:902px; width:2000px" />

The advantage of this method is that it is fast, but it will be unencrypted due to HTTP, and the server will be able to detect the attacker&#39;s presence if sniffing is performed.

<h2>4.2 Tunneling Pivoting</h2>

Tunneling Pivoting involves using a compromised device to route traffic through encrypted channels, such as SSH or VPN, to access other systems or networks. This method includes two approaches:

<h2>4.2.1 SSH Pivoting:</h2>

<ul>
	<li>This is very similar to Proxy Pivoting but differs in the port used. Here, the attacker uses the SSH protocol on port 22, which is shared between the attacker and the victim.</li>
	<li>The attacker will establish a listening session through the proxy using the SSH protocol.</li>
</ul>

Advantage: The server cannot detect it as quickly, but it may notice unusual SSH traffic between the attacker and the victim.

<h2>4.2.2 VPN Pivoting:</h2>

<ul>
	<li>This involves using a compromised device as a gateway to access and explore other devices or network segments that are not directly reachable from the attacker&#39;s initial position. The compromised device becomes a &quot;pivot point&quot; enabling the attacker to route traffic through it, making it appear as if it originates from within the internal network.</li>
</ul>

<h2>Scenario:</h2>

<ul>
	<li>Unlike the previous methods, the attacker cannot reach the server by exploiting the victim through protocols like HTTP or SSH because the firewall blocks their access.</li>
	<li>The attacker exploits a vulnerability on the server and establishes a Remote Port Forwarding Tunnel, allowing access to a sensitive subnet that the attacker cannot directly reach from the outside.</li>
</ul>

<img alt="" src="/media/blog/2024/08/26/im2.png" style="height:1006px; width:2000px" />

This method is very useful for privilege escalation and completing transitions between systems and networks, damaging additional devices, and searching for what the attacker is after, such as valuable data or critical infrastructure. This step is called lateral movement, which is the fifth step after pivoting.

<h2>To prevent this technique:</h2>

<ol>
	<li>Network Segmentation: Dividing different parts of the network into smaller networks can limit the attacker&#39;s ability to pivot. Even if the attacker breaches and gains access to one network, they may not be able to reach the others.</li>
	<li>Least Privilege Access: Limiting user and system permissions ensures that even if a system is compromised, the attacker&#39;s ability to move laterally is restricted.</li>
	<li>Monitoring and Logging: Detailed log monitoring and network traffic observation are useful in detecting unusual and suspicious activity that may indicate pivoting.</li>
	<li>Closing Unused Ports: This proactive action significantly reduces the exploitation of open, unused ports on hosts, preventing potential exploitation.</li>
</ol>

<h2>ما هو التمحور (Pivoting ) ؟</h2>

التقنية التي يستخدمها المهاجم للتحرك بشكل أعمق داخل الشبكة بعد الوصول الأولي. يتم تنفيذه في مرحلة&nbsp; (Post Exploitation)، ويتضمن عادةً استخدام جهاز مخترق كمنصة انطلاق للوصول إلى أجزاء أخرى من الشبكة لا يمكن الوصول إليها مباشرة من موقع المهاجم.غالبًا ما يتم استخدام التمحور في محاولة للتحايل على تجزئة أمان الشبكة أو جدران الحماية الداخلية

يعد التمحور تقنية بالغة الأهمية في الهجمات السيبرانية المتقدمة، مثل تلك التي تنفذها التهديدات المستمرة المتقدمة (advanced persistent threat - APT) ، إن فهم كيفية عمل التمحور يسمح لفريق أمن العمليات (SOC) و اصطياد الثغرات بتأمين شبكاتهم بشكل أفضل وتوقع مسارات الهجوم المحتملة. من خلال تطبيق ممارسات أمنية قوية، يمكن للمؤسسات أن تجعل من الصعب جدًا على المهاجمين التمركز بنجاح داخل شبكتهم.

&nbsp;

<h2>كيف يتم تطبيق التمحور (Pivoting ) ؟</h2>

1.وصول أولي ((Initial Compromise : بعد أن يقوم المهاجم باستغلال نقطة ضعف لدى أي جهاز بالشبكة المستهدفة، ويمكن القيام بذلك من خلال وسائل مختلفة، مثل التصيد الاحتيالي، أو استغلال الثغرات الأمنية، أو استخدام بيانات الاعتماد المسروقة**.**

2. إنشاء موطئ أثر(Foothold) : بعد الوصول يتم زرع برمجيات خبيثة، (Backdoor) أو (Rootkit)، للحفاظ على السيطرة على الجهاز المخترق.

3.جمع المعلومات(Information Gathering): سيقوم المهاجم باستطلاع واستكشاف الشبكة و تجميع أكبر قدر من المعلومات مثل هيكل الشبكة ( Network topology) و والأهداف المحتملة. ويساعد هذا الاستطلاع في تحديد الأنظمة أو البيانات القيمة لاستهدافها بعد ذلك.

4.التمحور (Pivoting): يستخدم المهاجم الجهاز المخترق لاستكشاف الأنظمة الأخرى داخل الشبكة والوصول إليها. ومن الأساليب التي قد يستخدمها المهاجم:

&nbsp;

<h2>Proxy Pivoting</h2>

استخدام الجهاز المخترق كخادم وكيل (Proxy) لإخفاء الأصل الحقيقي للمهاجم، مما يجعله يبدو كما لو كانت الهجمات قادمة من داخل الشبكة.

(سيناريو)

<ol>
	<li>يريد المهاجم التواصل مع السيرفر ولكن المهاجم محظور بواسطة الفايروول </li>
	<li>ويوجد هناك جهاز الضحية الذي يمكنه الوصول إلى السيرفر</li>
	<li>سيقوم المهاجم باختراق جهاز الضحية وفتح جلسة استماع عن طريق (Proxy) باستخدام برتوكول (HTTP) على أي منفذ (Port) وسيكون الضحية هو الوسيط بين المهاجم والسيرفر وبقية أجهزة الشبكة الداخلية</li>
</ol>

<img alt="" src="/media/blog/2024/08/26/im1_m7batZP.png" />

ميزة هذا الأسلوب&nbsp; أنه سريع ولكن سيكون غير مشفرة بسبب (HTTP) وسيتطيع السيرفر اكتشاف وجود المهاجم اذا عمل (Sniffing)

<h2>Tunneling Pivoting</h2>

استخدام الجهاز المخترق لتوجيه حركة المرور عبر القنوات المشفرة مثل (SSH-VPN) للوصول للأنظمة أو الشبكات الأخرى. وهذا النوع يشمل أسلوبين :

<h2>SSH Pivoting</h2>

1.شبيه جدأ بأسلوب (Proxy) ولكن يختلف بالمنفذ المستخدم حيث هنا سيستخدم المهاجم برتوكول(SSH)&nbsp; على منفذ 22 وهذا المنفذ مشترك بين المهاجم والضحية

2.سيقوم المهاجم بفتح جلسة استماع عن طريق البروكسي باستخدام برتوكول SSH

ميزة هذا الأسلوب لا يستطيع السيرفر اكتشافه بشكل أسرع ولكن سيلاحظ وجود عملية غريبة لبرتوكول SSH&nbsp; بين المهاجم والضحية

<h2>VPN Pivoting</h2>

وهو يتضمن استخدام جهاز مخترق كبوابة للوصول إلى الأجهزة الأخرى أو أجزاء الشبكة واستكشافها والتي لا يمكن الوصول إليها مباشرة من الموقع الأولي للمهاجم. يصبح الجهاز المخترق نقطة &quot;محورية&quot;، مما يمكّن المهاجم من توجيه حركة المرور من خلاله والظهور كما لو كان قادمًا من داخل الشبكة الداخلية.

السيناريو

1.بخلاف الأساليب السابقة، لا يستطيع المهاجم الوصول إلى السيرفر عن طريق استغلال الضحية في أي برتوكول مثل

HTTP, SSH&nbsp; ، لأنه الفايروول يحظر وصولهم

<ol start="2">
	<li>سيقوم المهاجم باستغلال أي ضعف موجود عند السيرفر وفتح Remote Port Forward Tunneling ، وسيسمح بإمكانية الوصول إلى شبكة فرعية حساسة لا يمكن للمهاجم الوصول إليها مباشرة من الخارج.</li>
</ol>

&nbsp;

<img alt="" src="/media/blog/2024/08/26/im2_DviZGT9.png" />

وهذا الأسلوب مفيد جدأ في تصعيد الصلاحيات وإكمال عمليات الإنتقال بين الأنظمة والشبكات والإضرار بأجهزة إضافية، للبحث عما يريد عنه المهاجم.مثل البيانات القيّمة أو البنية التحتية الحيوية وتسمى الخطوة هذه بالتحرك جانبياً- أفقياً (Lateral Movement) وهي الخطوة الخامسة بعد التمحور.

 
&nbsp;

<h2 dir="rtl" style="text-align:right">لمنع هذا التكنيك&nbsp;</h2>

1.تقسيم الشبكة : من الممكن أن يؤدي تقسيم أجزاء مختلفة من الشبكة لشبكات أصغر إلى الحد من قدرة المهاجم على التحرك بشكل محوري. وحتى لو قام بالإختراق والوصول إلى شبكة واحدة، فقد لا يتمكن من الوصول إلى الشبكات الأخرى.

2.أقل امتيازات الوصول(Least Privilege Access): يضمن الحد من أذونات المستخدم والنظام أنه حتى في حالة تعرض النظام للاختراق، فإن قدرة المهاجم على التحرك أفقيًا (Lateral Movement) تكون مقيدة.

3. المراقبة (Monitoring and Logging): من المفيد مراقبة السجلات التفصيلية ومراقبة حركة مرور الشبكة في اكتشاف النشاط غير المعتاد والغريب الذي قد يشير إلى التمحور.

4. إغلاق المنافذ غير المعروفة: هذا الفعل الإستباقي يقلل بنسة كبيرة من استغلال المنافذ المفتوحة غير المستخدمة في أجهزة المضيفين من أي فعل استغلالي.&nbsp;

&nbsp;

MAC-Flooding-attack

A network switch is a hardware device that connects multiple devices within a local area network (LAN) and enables communication between them. using MAC addresses to forward data packets only to the specific device for which the data is intended.

المحول هو جهاز مادي يربط بين عدة أجهزة داخل شبكة محلية (LAN) ويُمكِّنها من التواصل فيما بينها. باستخدام عناوين MAC، يقوم المحول بتوجيه حزم البيانات إلى الجهاز المحدد الذي يُراد إرسال البيانات إليه فقط.

MAC Flooding attack

هجمة ال MAC Flooding

Pivoting-Technique

Pivoting is a technique used by attackers to move deeper within a network after initial access. It is typically executed during the Post-Exploitation phase and involves using a compromised device as a launching pad to access other parts of the network that are not directly accessible from the attacker's original position. Pivoting is often employed to bypass network segmentation or internal firewalls.

التقنية التي يستخدمها المهاجم للتحرك بشكل أعمق داخل الشبكة بعد الوصول الأولي. يتم تنفيذه في مرحلة  (Post Exploitation)، ويتضمن عادةً استخدام جهاز مخترق كمنصة انطلاق للوصول إلى أجزاء أخرى من الشبكة لا يمكن الوصول إليها مباشرة من موقع المهاجم.غالبًا ما يتم استخدام التمحور في محاولة للتحايل على تجزئة أمان الشبكة أو جدران الحماية الداخلية

تكنيك ال Pivoting

Nanami

اقرأ التالي

هجمة ال MAC Flooding