Přihlášení přes VPN a pak ransomware: co důkazy podporují
Přihlášení ve 02:14 a zašifrované soubory ve 03:02 je sled, který stojí za vyšetření, ne vstupní bod. Držte důkazy o autentizaci, relaci a hostiteli odděleně.
Vše níže vychází z hypotetického záznamu, sestaveného tak, aby ukázal tvar, ne aby popsal skutečný případ. Čte se jako řetěz: autentizace na bráně ve 02:14, relace na ploše ve 02:19, změna privilegovaného účtu ve 02:41 a zašifrované soubory nalezené ve 03:02. První řádek vypadá jako odpověď a zpráva se často píše, jako by jí byl. Přihlášení je událost, kterou brána zaznamenala, ne zjištění o tom, jak se někdo dostal dovnitř, a tento rozdíl určuje, co uděláte dál.
Příznak: přihlášení, které vypadá jako odpověď
Záznamy o autentizaci se získávají nejsnáze a také se nejsnáze přeceňují. Ukazují, že služba přijala přihlašovací údaj v určitém čase, z určité adresy, pro určitý účet. Neukazují, kdo údaj ovládal, zda byla brána zneužita nebo zda bylo zařízení držitele účtu už kompromitováno.
Tři vysvětlení sedí na stejný řádek přihlášení. Někdo použil ukradené heslo a brána udělala přesně to, k čemu je postavena. Předtím kompromitovaný notebook se prostě přihlásil jako obvykle. Nesouvisející vystavená služba poskytla skutečný vstup a relace VPN je pozdější, samostatná akce téhož aktéra.
Každé vysvětlení předpovídá jiné důkazy jinde v prostředí, a proto musí vyšetřování hledat tato očekávání, ne potvrzení prvního, které sedí. Ukradené heslo předpovídá neobvyklou geografii nebo čas autentizace. Kompromitovaný notebook předpovídá artefakty hostitele před přihlášením. Nesouvisející vstupní bod předpovídá aktivitu, která s bránou vůbec nesouvisí.
Držte události odděleně, než je začnete vyprávět
Zapište události odděleně, dokud neexistuje žádné vyprávění, protože vyprávění zve k tomu uspořádat časovou osu kolem podezřelého. Každý řádek má říct, co ten záznam prokazuje, a odděleně, co sám prokázat nemůže. Ve chvíli, kdy se dva řádky spojí do jedné věty, už zvítězila nějaká interpretace.
Všimněte si, že poslední událost se týká odhalení, ne útočníka. Doba objevení a doba kompromitace se běžně liší o hodiny nebo týdny a zpráva, která je ztotožní, uvede v omyl každého čtenáře, který přijde po vás.
Zaznamenejte, odkud každé časové razítko pochází, ne jen co říká. Čas přijetí sběračem, čas události a čas odhalení jsou tři různá čísla a tiché sjednocení do jednoho sloupce je způsob, jak časová osa získá tvar, který důkazy nikdy neměly.
Spojujte záznamy jen tam, kde se identifikátory shodují
Spojení záznamů je hypotéza, ne krok formátování. Název účtu, přidělená adresa VPN, cílový hostitel a identifikátor relace se musí shodovat, než se ze dvou řádků stane jeden příběh. Sdílená veřejná adresa nestačí, protože je sdílená záměrně.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Čtěte tabulku zdola nahoru, když sledujete vstup, a shora dolů, když vymezujete dopad, protože obě otázky potřebují opačné směry. Kde se identifikátory skutečně shodují, řekněte to a citujte oba záznamy. Kde se neshodují, nechte mezeru viditelnou, místo abyste ji uzavřeli předpokladem.
Tady také mate známé uživatelské jméno. Stejný účet může ráno používat legitimní držitel a v noci někdo jiný a samotné jméno účtu je nerozliší. Připište účet, potom odděleně připište osobu, a jen když to něco podporuje. Většina časových os, které se při revizi rozpadnou, udělala právě tento krok příliš rychle.
Chybějící logy jsou mezera, ne negativní zjištění
Nepřítomnost událostí s neúspěšným heslem nedokazuje, že úspěšné přihlášení bylo legitimní. Platné ukradené údaje vytvoří úspěšný záznam o autentizaci a žádné neúspěchy, což je přesně to, co dělá krádež údajů přitažlivou.
Podobně port, který je dnes zavřený, říká něco o dnešku. Neříká nic o tom, zda byla ta služba tehdy vystavena, zda byla tehdy zranitelná nebo zda nesla útok. Historická konfigurace a důkazy ze služby jsou jediný způsob, jak tuto mezeru uzavřít.
Uveďte mezeru výslovně ve zprávě. „Pro ten interval nemáme záznamy“ je obhajitelná věta; „nic jiného se nestalo“ není a bude vám to citováno zpět. Mezery mají také vlastníky: pojmenujte systém, který měl záznam vytvořit, a proč ho nevytvořil. Ten řádek mění opomenutí v položku k nápravě.
Pište zjištění na úrovni, kterou důkazy podporují
Koordinujte zachování, omezení a obnovu přes vlastníka incidentu, ne mimo něj. Technické pokyny CISA zdůrazňují sběr relevantních artefaktů a logů dříve, než obnova změní to, co zůstane dostupné, a toto pořadí je důležitější než jakýkoli jednotlivý nástroj.
Znovu spustit podezřelý exploit proti živému vybavení, aby se mezera uzavřela, nestojí za přidané riziko. Test, který ukáže, že útok mohl fungovat, není důkazem, že fungoval, a rozdíl mezi těmito dvěma tvrzeními je celá disciplína cvičení.
Skončete čtyřmi seznamy: co bylo pozorováno, jaké vztahy záznamy podporují, co zůstává hypotézou a které záznamy nejsou dostupné. „Během incidentu byl použit účet VPN“ patří do druhého seznamu, když to záznamy podporují. „Ransomware způsobil VPN“ nepatří nikam, dokud něco neprokáže kauzalitu.