Влизане през VPN, после рансъмуер: какво подкрепят доказателствата
Влизане в 02:14 и криптирани файлове в 03:02 е последователност, която заслужава разследване, а не входна точка. Дръжте доказателствата за удостоверяване, сесия и хост отделно.
Всичко по-долу използва хипотетичен запис, съставен да покаже форма, а не да опише реален случай. Той се чете като верига: удостоверяване на шлюза в 02:14, сесия на работния плот в 02:19, промяна на привилегирован акаунт в 02:41 и криптирани файлове, открити в 03:02. Първият ред изглежда като отговора и докладът често се пише така, сякаш е така. Влизането е събитие, което шлюзът е записал, а не констатация за това как някой е влязъл, и тази разлика решава какво правите след това.
Симптомът: влизане, което изглежда като отговора
Записите за удостоверяване са най-лесните за получаване доказателства и най-лесните за свръхинтерпретация. Те показват, че услугата е приела идентификационни данни в определено време, от определен адрес, за определен акаунт. Те не показват кой е контролирал данните, дали шлюзът е бил експлоатиран или дали устройството на притежателя на акаунта вече е било компрометирано.
Три обяснения пасват на един и същ ред за влизане. Някой е използвал открадната парола и шлюзът е направил точно това, за което е създаден. Лаптоп, компрометиран по-рано, просто е влязъл както обикновено. Несвързана открита услуга е осигурила истинския вход, а VPN сесията е по-късно, отделно действие от същия участник.
Всяко обяснение предсказва различни доказателства другаде в средата, затова разследването трябва да търси тези предсказания, а не потвърждение на първото, което пасва. Открадната парола предсказва необичайна география или време на удостоверяване. Компрометиран лаптоп предсказва артефакти на хоста преди влизането. Несвързана входна точка предсказва активност, която няма нищо общо с шлюза.
Дръжте събитията отделно, преди да ги разказвате
Запишете събитията поотделно, преди да съществува какъвто и да е разказ, защото разказът кани хронологията да бъде подредена около заподозрян. Всеки ред трябва да казва какво установява този запис и, отделно, какво не може да установи сам. В момента, в който два реда се слеят в едно изречение, една интерпретация вече е победила.
Забележете, че последното събитие е за откриването, а не за нападателя. Времето на откриване и времето на компрометиране редовно се разминават с часове или седмици и доклад, който ги приравнява, ще подведе всеки читател след вас.
Записвайте откъде идва всяка времева марка, не само какво казва тя. Времето на получаване от колектора, времето на събитието и времето на откриване са три различни числа и тихото им нормализиране в една колона е начинът, по който хронологията придобива форма, каквато доказателствата никога не са имали.
Съединявайте записи само там, където идентификаторите съвпадат
Обединяването на записи е хипотеза, а не стъпка по форматиране. Името на акаунта, зададеният VPN адрес, целевият хост и идентификаторът на сесията трябва да съвпадат, преди два реда да станат една история. Споделен публичен адрес не е достатъчен, защото е споделен по замисъл.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Четете таблицата отдолу нагоре, когато проследявате вход, и отгоре надолу, когато определяте обхвата на въздействието, защото двата въпроса изискват противоположни посоки. Където идентификаторите наистина съвпадат, кажете го и цитирайте двата записа. Където не съвпадат, оставете празнината видима, вместо да я затваряте с предположение.
Тук също познато потребителско име подвежда. Един и същ акаунт може да се използва от законния притежател сутрин и от някой друг през нощта, а самото име не може да ги различи. Припишете акаунта, после припишете човека отделно и само когато нещо го подкрепя. Повечето хронологии, които се разпадат при преглед, са направили точно тази стъпка твърде бързо.
Липсващите журнали са празнина, а не отрицателен резултат
Липсата на събития за неуспешни пароли не доказва, че успешното влизане е било законно. Валидните откраднати данни дават успешен запис за удостоверяване и никакви неуспехи, което е точно това, което прави кражбата на идентификационни данни привлекателна.
По същия начин порт, който е затворен днес, казва нещо за днес. Той не казва нищо за това дали тази услуга е била открита тогава, дали е била уязвима тогава или дали е понесла атаката. Историческата конфигурация и доказателствата от услугата са единственият начин да се затвори тази празнина.
Посочете празнината изрично в доклада. „Нямаме записи за този интервал“ е защитимо изречение; „нищо друго не се е случило“ не е и ще ви бъде цитирано обратно. Празнините имат и собственици: назовете системата, която е трябвало да създаде записа, и защо не го е направила. Този ред превръща пропуск в точка за отстраняване.
Пишете констатациите на нивото, което доказателствата подкрепят
Координирайте запазването, ограничаването и възстановяването през собственика на инцидента, а не встрани от него. Техническото ръководство на CISA подчертава събирането на подходящи артефакти и журнали, преди възстановяването да промени какво остава налично, и тази последователност е по-важна от всеки отделен инструмент.
Повторното пускане на предполагаем експлойт срещу жива техника, за да се затвори празнината, не си заслужава добавения риск. Тест, който показва, че атака би могла да работи, не е доказателство, че е работила, и разликата между тези две твърдения е цялата дисциплина на упражнението.
Завършете с четири списъка: какво е наблюдавано, какви връзки подкрепят записите, какво остава хипотеза и какви записи липсват. „VPN акаунт е бил използван по време на инцидента“ принадлежи на втория списък, когато записите го подкрепят. „VPN причини рансъмуера“ не принадлежи никъде, докато нещо не установи причинност.