Уваход праз VPN, а затым праграма-вымагальнік: што падмацоўваюць доказы
Уваход у 02:14 і зашыфраваныя файлы ў 03:02 — гэта паслядоўнасць, вартая расследавання, а не пункт уваходу. Трымайце доказы аўтэнтыфікацыі, сеансу і хоста асобна.
Усё ніжэй пабудавана на гіпатэтычным запісе, сабраным, каб паказаць форму, а не апісаць рэальны выпадак. Ён чытаецца як ланцуг: аўтэнтыфікацыя на шлюзе ў 02:14, сеанс працоўнага стала ў 02:19, змена прывілеяванага ўліковага запісу у 02:41 і зашыфраваныя файлы, знойдзеныя ў 03:02. Першы радок выглядае як адказ, і справаздача часта пішацца так, нібыта ён і ёсць. Уваход — гэта падзея, якую запісаў шлюз, а не выснова пра тое, як хтосьці трапіў унутр, і менавіта гэтая розніца вызначае вашы наступныя дзеянні.
Сімптом: уваход, які выглядае як адказ
Запісы аўтэнтыфікацыі — самыя простыя для атрымання доказы і самыя простыя для перабольшання. Яны паказваюць, што служба прыняла ўліковыя даныя ў пэўны час, з пэўнага адрасу, для пэўнага ўліковага запісу. Яны не паказваюць, хто кантраляваў гэтыя даныя, ці быў шлюз скарыстаны, ці прылада ўладальніка ўліковага запісу ўжо была скампраметаваная.
Тры тлумачэнні падыходзяць да аднаго і таго ж радка ўваходу. Нехта скарыстаў скрадзены пароль, і шлюз зрабіў менавіта тое, для чаго быў створаны. Наўтбук, скампраметаваны раней, проста ўвайшоў як звычайна. Непавязаная адкрытая служба забяспечыла сапраўдны ўваход, а сеанс VPN — гэта пазнейшае, асобнае дзеянне таго ж суб’екта.
Кожнае тлумачэнне прадказвае розныя доказы ў іншым месцы асяроддзя, і таму расследаванне павінна шукаць менавіта гэтыя прадказанні, а не пацверджанне першага, што падыходзіць. Скрадзены пароль прадказвае незвычайную геаграфію або час аўтэнтыфікацыі. Скампраметаваны наўтбук прадказвае артэфакты хоста да ўваходу. Непавязаны пункт уваходу прадказвае актыўнасць, якая зусім не звязана са шлюзам.
Трымайце падзеі асобна, перш чым расказваць пра іх
Запішыце падзеі асобна, пакуль ніякага апавядання яшчэ няма, бо апавяданне запрашае выбудаваць храналогію вакол падазронага. Кожны радок павінен казаць, што гэты запіс усталёўвае і, асобна, што ён не можа ўсталяваць сам. У момант, калі два радкі зліваюцца ў адзін сказ, інтэрпрэтацыя ўжо перамагла.
Звярніце ўвагу, што апошняя падзея датычыцца выяўлення, а не нападніка. Час выяўлення і час кампраметацыі звычайна адрозніваюцца на гадзіны або тыдні, і справаздача, якая іх раўняе, увядзе ў зман кожнага, хто прыйдзе пасля вас.
Запісвайце, адкуль узяўся кожны часовы штамп, а не толькі што ён кажа. Час атрымання зборшчыкам, час падзеі і час выяўлення — тры розныя лікі, і маўклівае звядзенне іх у адзін слупок — гэта тое, як храналогія набывае форму, якой доказы ніколі не мелі.
Злучайце запісы толькі там, дзе супадаюць ідэнтыфікатары
Зліццё запісаў — гэта гіпотэза, а не крок фарматавання. Імя ўліковага запісу, прызначаны адрас VPN, мэтавы хост і ідэнтыфікатар сеансу павінны супасці, перш чым два радкі стануць адной гісторыяй. Агульны публічны адрас не дастатковы, бо ён агульны па задуме.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Чытайце табліцу знізу ўверх, калі прасочваеце ўваход, і зверху ўніз, калі вызначаеце маштаб уздзеяння, бо гэтыя два пытанні патрабуюць процілеглых кірункаў. Там, дзе ідэнтыфікатары сапраўды супадаюць, скажыце пра гэта і спашліцеся на абодва запісы. Там, дзе не супадаюць, пакіньце прабел бачным, а не закрывайце яго здагадкай.
Менавіта тут звыклае імя карыстальніка ўводзіць у зман. Адзін і той жа ўліковы запіс можа выкарыстоўваць законны ўладальнік раніцай і нехта іншы ноччу, і адно імя не можа іх адрозніць. Прыпішыце ўліковы запіс, затым асобна прыпішыце чалавека, і толькі калі нешта гэта падмацоўвае. Большасць храналогій, якія развальваюцца на разглядзе, зрабілі менавіта гэты крок занадта хутка.
Адсутныя журналы — гэта прабел, а не адмоўны вынік
Адсутнасць падзей з няўдалымі паролямі не даказвае, што паспяховы ўваход быў законным. Сапраўдныя скрадзеныя ўліковыя даныя даюць паспяховы запіс аўтэнтыфікацыі і зусім не даюць няўдач, і менавіта гэта робіць крадзеж уліковых даных прывабным.
Гэтак жа порт, закрыты сёння, кажа нешта пра сёння. Ён нічога не кажа пра тое, ці была тая служба адкрытая тады, ці была яна ўразлівая тады, ці несла яна напад. Гістарычная канфігурацыя і доказы службы — адзіны спосаб закрыць гэты прабел.
Пазначце прабел яўна ў справаздачы. «У нас няма запісаў за гэты інтэрвал» — абараняльны сказ; «нічога іншага не адбылося» — не, і гэта вам прыпомняць. У прабелаў таксама ёсць уладальнікі: назвіце сістэму, якая павінна была стварыць запіс, і чаму яна гэтага не зрабіла. Гэты радок ператварае пропуск у пункт выпраўлення.
Пішыце высновы на тым узроўні, які падмацоўваюць доказы
Каардынуйце захаванне, стрымліванне і аднаўленне праз уладальніка інцыдэнту, а не ў абыход яго. Тэхнічнае кіраўніцтва CISA падкрэслівае збор адпаведных артэфактаў і журналаў да таго, як аднаўленне зменіць тое, што засталося даступным, і гэтая паслядоўнасць важнейшая за любы асобны інструмент.
Паўторны запуск меркаванага эксплойта на жывым абсталяванні, каб закрыць прабел, не варты дадатковай рызыкі. Тэст, які паказвае, што напад мог спрацаваць, не з’яўляецца доказам, што ён спрацаваў, і розніца паміж гэтымі двума сцвярджэннямі — уся дысцыпліна практыкавання.
Скончыце чатырма спісамі: што назіралася, якія сувязі падмацоўваюць запісы, што застаецца гіпотэзай і якія запісы недаступныя. «Уліковы запіс VPN выкарыстоўваўся падчас інцыдэнту» належыць другому спісу, калі запісы гэта падмацоўваюць. «VPN выклікаў шыфравальнік» не належыць нідзе, пакуль нешта не ўстановіць прычыннасць.