Inici de sessió a la VPN i després ransomware: què sostenen les proves

Tot el que segueix utilitza un registre hipotètic, aplegat per mostrar una forma i no per descriure un cas real. Es llegeix com una cadena: una autenticació a la passarel·la a les 02:14, una sessió d’escriptori a les 02:19, un canvi de compte privilegiat a les 02:41 i fitxers xifrats trobats a les 03:02. La primera línia sembla la resposta, i sovint l’informe s’escriu com si ho fos. Un inici de sessió és un esdeveniment que una passarel·la va registrar, no una conclusió sobre com hi va entrar algú, i aquesta diferència decideix què feu a continuació.

El símptoma: un inici de sessió que sembla la resposta

Els registres d’autenticació són les proves més fàcils d’obtenir i les més fàcils de sobreinterpretar. Mostren que el servei va acceptar una credencial en un moment, des d’una adreça, per a un compte. No mostren qui controlava la credencial, si la passarel·la va ser explotada o si el dispositiu del titular del compte ja estava compromès.

Tres explicacions encaixen en la mateixa línia d’inici de sessió. Algú va fer servir una contrasenya robada, i la passarel·la va fer exactament allò per a què va ser construïda. Un portàtil compromès abans simplement va iniciar sessió com de costum. Un servei exposat no relacionat va proporcionar l’entrada real, i la sessió VPN és una acció posterior i separada del mateix actor.

Cada explicació prediu proves diferents en altres llocs de l’entorn, i per això la investigació ha de buscar aquestes prediccions i no la confirmació de la primera que encaixi. Una contrasenya robada prediu una geografia o un moment d’autenticació inusuals. Un portàtil compromès prediu artefactes de l’amfitrió abans de l’inici de sessió. Un punt d’entrada no relacionat prediu activitat que no té res a veure amb la passarel·la.

Manteniu els esdeveniments separats abans de narrar-los

Escriviu els esdeveniments per separat abans que existeixi cap narració, perquè una narració convida a ordenar la cronologia al voltant d’un sospitós. Cada línia ha de dir què estableix aquell registre i, per separat, què no pot establir per si sol. En el moment en què dues línies es fusionen en una frase, una interpretació ja ha guanyat.

Fixeu-vos que l’últim esdeveniment tracta de la detecció i no de l’atacant. El moment de descobriment i el moment de compromís solen estar separats per hores o setmanes, i un informe que els equipara enganyarà tots els lectors que vinguin després de vosaltres.

Registreu d’on prové cada marca temporal, no només què diu. L’hora de recepció d’un recol·lector, l’hora d’un esdeveniment i l’hora de detecció són tres nombres diferents, i normalitzar-los en silenci en una columna és com una cronologia adquireix una forma que les proves mai no van tenir.

Uniu registres només on els identificadors coincideixin

Fusionar registres és una hipòtesi, no un pas de formatació. El nom del compte, l’adreça VPN assignada, l’amfitrió de destinació i l’identificador de sessió han de coincidir abans que dues files es converteixin en una història. Una adreça pública compartida no n’hi ha prou, perquè es comparteix per disseny.

Llegiu la taula de baix a dalt quan resseguiu una entrada, i de dalt a baix quan delimiteu l’impacte, perquè les dues preguntes necessiten direccions oposades. On els identificadors coincideixin de debò, digueu-ho i citeu tots dos registres. On no coincideixin, deixeu la llacuna visible en lloc de tancar-la amb una suposició.

Aquí també enganya un nom d’usuari familiar. El mateix compte el pot fer servir el titular legítim al matí i algú altre de nit, i el nom del compte per si sol no els pot distingir. Atribuïu el compte, després atribuïu la persona per separat, i només quan alguna cosa ho sostingui. La majoria de cronologies que s’esfondren en la revisió van fer exactament aquest pas massa de pressa.

Els registres que falten són una llacuna, no una prova negativa

L’absència d’esdeveniments de contrasenya fallida no demostra que l’inici de sessió correcte fos legítim. Unes credencials robades vàlides produeixen un registre d’autenticació correcte i cap fallada, i això és exactament el que fa atractiu el robatori de credencials.

De la mateixa manera, un port que avui és tancat diu alguna cosa sobre avui. No diu res sobre si aquell servei estava exposat llavors, si era vulnerable llavors o si va portar l’atac. La configuració històrica i les proves del servei són l’única manera de tancar aquesta llacuna.

Declareu la llacuna explícitament a l’informe. «No tenim registres per a aquell interval» és una frase defensable; «no va passar res més» no ho és, i us la citaran de tornada. Les llacunes també tenen responsables: anomeneu el sistema que hauria d’haver produït el registre i per què no ho va fer. Aquesta línia converteix una omissió en un element de remediació.

Escriviu les conclusions al nivell que sostenen les proves

Coordineu la preservació, la contenció i la recuperació a través del responsable de l’incident, no al marge. L’orientació tècnica de CISA subratlla la recollida d’artefactes i registres rellevants abans que la remediació canviï què queda disponible, i aquest ordre importa més que qualsevol eina concreta.

Tornar a executar un suposat exploit contra equip viu per tancar la llacuna no val el risc que afegeix. Una prova que mostra que un atac podria funcionar no és una prova que funcionés, i la diferència entre aquestes dues afirmacions és tota la disciplina de l’exercici.

Acabeu amb quatre llistes: què es va observar, quines relacions sostenen els registres, què continua sent hipòtesi i quins registres no estan disponibles. «Es va fer servir un compte VPN durant l’incident» pertany a la segona llista quan els registres ho sostenen. «La VPN va causar el ransomware» no pertany enlloc fins que alguna cosa estableixi la causalitat.