VPN girişindən sonra fidyə proqramı: sübutlar nəyi dəstəkləyir
02:14-də giriş və 03:02-də şifrələnmiş fayllar araşdırılmalı ardıcıllıqdır, giriş nöqtəsi deyil. Autentifikasiya, sessiya və host sübutlarını ayrı saxlayın.
Aşağıdakıların hamısı real işi təsvir etmək deyil, forma göstərmək üçün yığılmış hipotetik qeyddən istifadə edir. Bu, zəncir kimi oxunur: 02:14-də şlüz autentifikasiyası, 02:19-da masaüstü sessiyası, 02:41-də imtiyazlı hesab dəyişikliyi və 03:02-də aşkar edilmiş şifrələnmiş fayllar. Birinci sətir cavab kimi görünür və hesabat çox vaxt elə yazılır ki, sanki o cavabdır. Giriş şlüzün qeydə aldığı hadisədir, kiminsə necə içəri girdiyinə dair tapıntı deyil və bu fərq sonra nə edəcəyinizi müəyyənləşdirir.
Əlamət: cavab kimi görünən giriş
Autentifikasiya qeydləri əldə edilməsi ən asan və artıq oxunması ən asan sübutlardır. Onlar xidmətin müəyyən vaxtda, müəyyən ünvandan, müəyyən hesab üçün etimadnaməni qəbul etdiyini göstərir. Onlar etimadnaməyə kimin nəzarət etdiyini, şlüzün istismar edilib-edilmədiyini və ya hesab sahibinin cihazının artıq kompromisə uğrayıb-uğramadığını göstərmir.
Üç izah eyni giriş sətrinə uyğun gəlir. Kimsə oğurlanmış paroldan istifadə etdi və şlüz tam olaraq nə üçün qurulubsa onu etdi. Əvvəllər kompromisə uğramış noutbuk sadəcə həmişəki kimi daxil oldu. Əlaqəsiz açıq xidmət əsl girişi təmin etdi və VPN sessiyası həmin aktorun sonrakı, ayrı hərəkətidir.
Hər izah mühitin başqa yerində fərqli sübutlar proqnozlaşdırır, buna görə araşdırma uyğun gələn ilk izahın təsdiqini deyil, məhz bu proqnozları axtarmalıdır. Oğurlanmış parol qeyri-adi autentifikasiya coğrafiyası və ya vaxtı proqnozlaşdırır. Kompromisə uğramış noutbuk girişdən əvvəl host artefaktlarını proqnozlaşdırır. Əlaqəsiz giriş nöqtəsi şlüzlə heç bir əlaqəsi olmayan fəaliyyət proqnozlaşdırır.
Hadisələri danışmadan əvvəl onları ayrı saxlayın
Hadisələri hər hansı rəvayət yaranmazdan əvvəl ayrıca yazın, çünki rəvayət vaxt xəttini şübhəli şəxsin ətrafında düzməyə dəvət edir. Hər sətir həmin qeydin nəyi təsbit etdiyini və ayrıca, tək başına nəyi təsbit edə bilmədiyini deməlidir. İki sətir bir cümlədə birləşdirildiyi anda bir şərh artıq qalib gəlib.
Diqqət yetirin ki, son hadisə hücumçuya deyil, aşkarlamaya aiddir. Aşkarlama vaxtı və kompromis vaxtı adətən saatlar və ya həftələrlə fərqlənir və onları bərabərləşdirən hesabat sizdən sonra gələn hər oxucunu yanıldacaq.
Hər vaxt damğasının haradan gəldiyini qeyd edin, yalnız nə dediyini deyil. Toplayıcının qəbul vaxtı, hadisə vaxtı və aşkarlama vaxtı üç fərqli rəqəmdir və onları səssizcə bir sütunda normallaşdırmaq vaxt xəttinin sübutların heç vaxt malik olmadığı formanı almasıdır.
Qeydləri yalnız identifikatorlar uyğun gəldikdə birləşdirin
Qeydləri birləşdirmək formatlama addımı deyil, hipotezdir. Hesab adı, təyin edilmiş VPN ünvanı, hədəf host və sessiya identifikatoru iki sətrin bir hekayəyə çevrilməsindən əvvəl uyğun gəlməlidir. Ortaq ictimai ünvan kifayət etmir, çünki o, dizaynca ortaqdır.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Girişi izləyərkən cədvəli aşağıdan yuxarı, təsir dairəsini müəyyənləşdirərkən yuxarıdan aşağı oxuyun, çünki iki sual əks istiqamətlər tələb edir. İdentifikatorların həqiqətən uyğun gəldiyi yerdə bunu deyin və hər iki qeydə istinad edin. Uyğun gəlmədiyi yerdə boşluğu fərziyyə ilə bağlamaq əvəzinə görünən saxlayın.
Tanış istifadəçi adının yanıldığı yer də burasıdır. Eyni hesabdan səhər qanuni sahibi, gecə isə başqa biri istifadə edə bilər və yalnız hesab adı onları ayırd edə bilməz. Hesabı aid edin, sonra şəxsi ayrıca aid edin və yalnız nəsə bunu dəstəklədikdə. Rəydə dağılan vaxt xətlərinin çoxu məhz bu addımı çox tez atıb.
İtmiş jurnallar boşluqdur, mənfi nəticə deyil
Uğursuz parol hadisələrinin olmaması uğurlu girişin qanuni olduğunu sübut etmir. Etibarlı oğurlanmış etimadnamələr uğurlu autentifikasiya qeydi və heç bir uğursuzluq yaradır və etimadnamə oğurluğunu cəlbedici edən məhz budur.
Eynilə, bugün bağlı olan port bugün haqqında nəsə deyir. O, həmin xidmətin o vaxt açıq olub-olmadığı, o vaxt zəiflik daşıyıb-daşımadığı və ya hücumu daşıyıb-daşımadığı barədə heç nə demir. Tarixi konfiqurasiya və xidmət sübutları bu boşluğu bağlamağın yeganə yoludur.
Boşluğu hesabatda açıq şəkildə qeyd edin. “Həmin interval üçün qeydimiz yoxdur” müdafiə oluna bilən cümlədir; “başqa heç nə olmadı” deyil və bu sizə qarşı sitat gətiriləcək. Boşluqların sahibləri də var: qeydi hansı sistemin yaratmalı olduğunu və niyə yaratmadığını göstərin. Bu sətir buraxılışı aradan qaldırma bəndinə çevirir.
Tapıntıları sübutların dəstəklədiyi səviyyədə yazın
Mühafizə, məhdudlaşdırma və bərpanı insident sahibi vasitəsilə əlaqələndirin, onun ətrafından yox. CISA-nın texniki təlimatı bərpa mövcud olanı dəyişməzdən əvvəl müvafiq artefakt və jurnalların toplanmasını vurğulayır və bu sıra hər hansı tək alətdən daha çox əhəmiyyət daşıyır.
Boşluğu bağlamaq üçün canlı avadanlıqda şübhəli istismarı yenidən işə salmaq əlavə etdiyi riskə dəyməz. Hücumun işləyə biləcəyini göstərən test onun işlədiyinə sübut deyil və bu iki ifadə arasındakı fərq məşqin bütün intizamıdır.
Dörd siyahı ilə bitirin: nə müşahidə edildi, qeydlər hansı əlaqələri dəstəkləyir, nə hipotez olaraq qalır və hansı qeydlər mövcud deyil. “İnsident zamanı VPN hesabı istifadə edildi” qeydlər bunu dəstəklədikdə ikinci siyahıya aiddir. “Fidyə proqramına VPN səbəb oldu” nə isə səbəbiyyət müəyyənləşdirənə qədər heç yerə aid deyil.