VPN-aanmelding en dan gisware: wat die bewyse ondersteun

Alles hieronder gebruik ’n hipotetiese rekord, saamgestel om ’n vorm te wys eerder as om ’n werklike saak te beskryf. Dit lees soos ’n ketting: ’n poortwag-verifikasie om 02:14, ’n lessenaarsessie om 02:19, ’n verandering aan ’n bevoorregte rekening om 02:41, en versleutelde lêers wat om 03:02 gevind is. Die eerste lyn lyk soos die antwoord, en die verslag word dikwels geskryf asof dit so is. ’n Aanmelding is ’n gebeurtenis wat ’n poortwag aangeteken het, nie ’n bevinding oor hoe iemand ingekom het nie, en daardie verskil bepaal wat jy volgende doen.

Die simptoom: ’n aanmelding wat soos die antwoord lyk

Verifikasie-rekords is die maklikste bewyse om te bekom en die maklikste om te oor-lees. Hulle wys dat die diens ’n geloofsbrief op ’n tydstip, vanaf ’n adres, vir ’n rekening aanvaar het. Hulle wys nie wie die geloofsbrief beheer het nie, of die poortwag uitgebuit is nie, of die rekeninghouer se toestel reeds gekompromitteer was nie.

Drie verklarings pas by dieselfde aanmeldingslyn. Iemand het ’n gesteelde wagwoord gebruik, en die poortwag het presies gedoen waarvoor dit gebou is. ’n Skootrekenaar wat vroeër gekompromitteer is, het bloot soos gewoonlik aangemeld. ’n Onverwante blootgestelde diens het die werklike toegang verskaf, en die VPN-sessie is ’n latere, aparte handeling deur dieselfde akteur.

Elke verklaring voorspel ander bewyse elders in die omgewing, en daarom moet die ondersoek na daardie voorspellings soek eerder as na bevestiging van die eerste een wat pas. ’n Gesteelde wagwoord voorspel ongewone verifikasie-geografie of -tydsberekening. ’n Gekompromitteerde skootrekenaar voorspel gasheer-artefakte voor die aanmelding. ’n Onverwante toegangspunt voorspel aktiwiteit wat niks met die poortwag te doen het nie.

Hou die gebeure apart voordat jy dit vertel

Skryf die gebeure afsonderlik neer voordat enige vertelling bestaan, want ’n vertelling nooi die tydlyn om rondom ’n verdagte gerangskik te word. Elke lyn moet sê wat daardie rekord vasstel en, afsonderlik, wat dit alleen nie kan vasstel nie. Die oomblik wanneer twee lyne in een sin saamgevoeg word, het ’n interpretasie reeds gewen.

Let op dat die laaste gebeurtenis oor opsporing gaan eerder as oor die aanvaller. Ontdekkingstyd en kompromitteringstyd is gereeld ure of weke uitmekaar, en ’n verslag wat hulle gelykstel, sal elke leser wat ná jou kom mislei.

Teken aan waar elke tydstempel vandaan kom, nie net wat dit sê nie. ’n Versamelaar se ontvangstyd, ’n gebeurtenistyd en ’n opsporingstyd is drie verskillende getalle, en om hulle stilweg in een kolom te normaliseer is hoe ’n tydlyn ’n vorm kry wat die bewyse nooit gehad het nie.

Voeg rekords net saam waar identifiseerders ooreenstem

Om rekords saam te voeg is ’n hipotese, nie ’n formateringsstap nie. Die rekeningnaam, die toegewysde VPN-adres, die teikengasheer en die sessie-identifiseerder moet ooreenstem voordat twee rye een verhaal word. ’n Gedeelde publieke adres is nie genoeg nie, want dit word doelbewus gedeel.

Lees die tabel van onder na bo wanneer jy ’n toegang naspeur, en van bo na onder wanneer jy die impak bepaal, want die twee vrae het teenoorgestelde rigtings nodig. Waar identifiseerders wel ooreenstem, sê so en verwys na albei rekords. Waar hulle nie ooreenstem nie, laat die gaping sigbaar eerder as om dit met ’n aanname te sluit.

Dit is ook waar ’n bekende gebruikersnaam mislei. Dieselfde rekening kan in die oggend deur die wettige houer gebruik word en in die nag deur iemand anders, en die rekeningnaam alleen kan hulle nie onderskei nie. Ken die rekening toe, en ken dan die persoon afsonderlik toe, en net wanneer iets dit ondersteun. Die meeste tydlyne wat in hersiening uitmekaar val, het presies hierdie stap te vinnig gedoen.

Ontbrekende logs is ’n gaping, nie ’n negatief nie

Die afwesigheid van mislukte-wagwoord-gebeure bewys nie dat die suksesvolle aanmelding wettig was nie. Geldige gesteelde geloofsbriewe lewer ’n suksesvolle verifikasie-rekord en glad geen mislukkings nie, en dit is presies wat geloofsbriefdiefstal aantreklik maak.

Net so sê ’n poort wat vandag gesluit is iets oor vandag. Dit sê niks oor of daardie diens toe blootgestel was nie, of dit toe kwesbaar was nie, of dit die aanval gedra het nie. Historiese konfigurasie en diensbewyse is die enigste manier om daardie gaping te sluit.

Stel die gaping uitdruklik in die verslag. “Ons het geen rekords vir daardie interval nie” is ’n verdedigbare sin; “niks anders het gebeur nie” is nie, en dit sal teen jou aangehaal word. Gapings het ook eienaars: noem die stelsel wat die rekord moes produseer en waarom dit nie gebeur het nie. Daardie lyn verander ’n weglating in ’n herstelitem.

Skryf bevindings op die vlak wat die bewyse ondersteun

Koördineer bewaring, inperking en herstel deur die insident-eienaar eerder as om hulle te omseil. CISA se tegniese leiding beklemtoon die versameling van relevante artefakte en logs voordat herstel verander wat beskikbaar bly, en daardie volgorde maak meer saak as enige enkele instrument.

Om ’n vermoede uitbuiting teen lewendige toerusting weer te loop om die gaping te sluit, is nie die bykomende risiko werd nie. ’n Toets wat wys ’n aanval kon werk, is nie bewyse dat dit gewerk het nie, en die verskil tussen daardie twee stellings is die hele dissipline van die oefening.

Eindig met vier lyste: wat waargeneem is, watter verwantskappe die rekords ondersteun, wat hipotese bly, en watter rekords onbeskikbaar is. “’n VPN-rekening is tydens die insident gebruik” hoort in die tweede lys wanneer die rekords dit ondersteun. “Die VPN het die gisware veroorsaak” hoort nêrens totdat iets oorsaaklikheid vasstel nie.