Prijava na VPN pa ransomware: šta dokazi podržavaju

Sve ispod koristi hipotetički zapis, sastavljen da pokaže oblik, a ne da opiše stvarni slučaj. Čita se kao lanac: autentifikacija na pristupniku u 02:14, sesija radne površine u 02:19, promjena privilegovanog računa u 02:41 i šifrovane datoteke pronađene u 03:02. Prvi red izgleda kao odgovor, a izvještaj se često piše kao da jeste. Prijava je događaj koji je pristupnik zabilježio, a ne nalaz o tome kako je neko ušao, i ta razlika odlučuje šta radite dalje.

Simptom: prijava koja izgleda kao odgovor

Zapisi autentifikacije najlakši su dokazi za dobijanje i najlakši za prekomjerno čitanje. Pokazuju da je servis prihvatio vjerodajnicu u određeno vrijeme, s određene adrese, za određeni račun. Ne pokazuju ko je kontrolisao vjerodajnicu, da li je pristupnik iskorišten ili da li je uređaj vlasnika računa već bio kompromitovan.

Tri objašnjenja odgovaraju istom redu prijave. Neko je upotrijebio ukradenu lozinku i pristupnik je učinio tačno ono za šta je napravljen. Laptop koji je ranije kompromitovan jednostavno se prijavio kao i obično. Nepovezani izloženi servis pružio je pravi ulaz, a VPN sesija je kasnija, odvojena radnja istog aktera.

Svako objašnjenje predviđa različite dokaze drugdje u okruženju, zato istraga mora tražiti ta predviđanja, a ne potvrdu prvog koje se uklopi. Ukradena lozinka predviđa neobičnu geografiju ili vrijeme autentifikacije. Kompromitovan laptop predviđa artefakte hosta prije prijave. Nepovezana ulazna točka predviđa aktivnost koja nema nikakve veze s pristupnikom.

Držite događaje odvojeno prije nego što ih opisujete

Zapišite događaje odvojeno prije nego što postoji bilo kakva priča, jer priča poziva da se vremenska linija složi oko osumnjičenog. Svaki red treba da kaže šta taj zapis utvrđuje i, odvojeno, šta ne može utvrditi sam. U trenutku kada se dva reda spoje u jednu rečenicu, interpretacija je već pobijedila.

Primijetite da se posljednji događaj odnosi na otkrivanje, a ne na napadača. Vrijeme otkrića i vrijeme kompromitacije rutinski su razdvojeni satima ili sedmicama, a izvještaj koji ih izjednači zavest će svakog čitaoca koji dođe poslije vas.

Zabilježite odakle potiče svaki vremenski pečat, ne samo šta govori. Vrijeme prijema kod kolektora, vrijeme događaja i vrijeme otkrića tri su različita broja, a tiho normalizovanje u jednu kolonu jeste način na koji vremenska linija dobija oblik koji dokazi nikada nisu imali.

Spajajte zapise samo tamo gdje se identifikatori slažu

Spajanje zapisa je hipoteza, a ne korak formatiranja. Ime računa, dodijeljena VPN adresa, ciljni host i identifikator sesije moraju se slagati prije nego dva reda postanu jedna priča. Zajednička javna adresa nije dovoljna, jer je zajednička po dizajnu.

Čitajte tabelu odozdo prema gore kada pratite ulaz, a odozgo prema dolje kada određujete obim uticaja, jer ta dva pitanja traže suprotne smjerove. Gdje se identifikatori zaista slažu, recite to i navedite oba zapisa. Gdje se ne slažu, ostavite prazninu vidljivom umjesto da je zatvarate pretpostavkom.

Ovdje i poznato korisničko ime zavodi. Isti račun može koristiti zakoniti vlasnik ujutro i neko drugi noću, a samo ime računa ne može ih razlikovati. Pripisati račun, zatim odvojeno pripisati osobu, i to samo kada nešto to podržava. Većina vremenskih linija koje se raspadnu na pregledu uradila je upravo ovaj korak prebrzo.

Nedostajući logovi su praznina, a ne negativan nalaz

Odsustvo događaja s neuspjelim lozinkama ne dokazuje da je uspješna prijava bila legitimna. Važeće ukradene vjerodajnice daju uspješan zapis autentifikacije i nijedan neuspjeh, a upravo to krađu vjerodajnica čini privlačnom.

Slično, port koji je danas zatvoren govori nešto o danas. Ne govori ništa o tome da li je taj servis tada bio izložen, da li je tada bio ranjiv ili da li je nosio napad. Historijska konfiguracija i dokazi servisa jedini su način da se ta praznina zatvori.

Navedite prazninu izričito u izvještaju. „Nemamo zapise za taj interval“ je održiva rečenica; „ništa drugo se nije dogodilo“ nije, i to će vam biti citirano natrag. Praznine takođe imaju vlasnike: navedite sistem koji je trebao proizvesti zapis i zašto nije. Taj red pretvara propust u stavku za ispravku.

Pišite nalaze na nivou koji dokazi podržavaju

Koordinirajte očuvanje, ograničavanje i oporavak kroz vlasnika incidenta, a ne mimo njega. CISA-ine tehničke smjernice naglašavaju prikupljanje relevantnih artefakata i logova prije nego oporavak promijeni ono što ostaje dostupno, a taj redoslijed je važniji od bilo kojeg pojedinačnog alata.

Ponovno pokretanje sumnjivog eksploita na živoj opremi da bi se zatvorila praznina nije vrijedno dodatnog rizika. Test koji pokaže da je napad mogao uspjeti nije dokaz da jeste, a razlika između te dvije tvrdnje jeste cijela disciplina vježbe.

Završite s četiri liste: šta je zapaženo, koje odnose zapisi podržavaju, šta ostaje hipoteza i koji zapisi nisu dostupni. „VPN račun je korišten tokom incidenta“ pripada drugoj listi kada to zapisi podržavaju. „VPN je prouzrokovao ransomware“ ne pripada nigdje dok nešto ne utvrdi uzročnost.