Mewngofnodi VPN ac yna ransomware: beth mae’r dystiolaeth yn ei gefnogi

Mae popeth isod yn defnyddio cofnod damcaniaethol, wedi’i lunio i ddangos siâp yn hytrach nag i ddisgrifio achos go iawn. Mae’n darllen fel cadwyn: dilysiad porth am 02:14, sesiwn bwrdd gwaith am 02:19, newid cyfrif breiniol am 02:41, a ffeiliau amgryptiedig wedi’u canfod am 03:02. Mae’r llinell gyntaf yn edrych fel yr ateb, ac mae’r adroddiad yn aml yn cael ei ysgrifennu fel petai hi felly. Digwyddiad a gofnodwyd gan borth yw mewngofnodiad, nid canfyddiad am sut yr aeth rhywun i mewn, a’r gwahaniaeth hwnnw sy’n penderfynu beth rydych chi’n ei wneud nesaf.

Y symptom: mewngofnodiad sy’n edrych fel yr ateb

Cofnodion dilysu yw’r dystiolaeth hawddaf i’w chael a’r hawddaf i’w gorddarllen. Maent yn dangos bod y gwasanaeth wedi derbyn cymhwyster ar adeg, o gyfeiriad, ar gyfer cyfrif. Nid ydynt yn dangos pwy oedd yn rheoli’r cymhwyster, a oedd y porth wedi’i ecsbloetio, nac a oedd dyfais deiliad y cyfrif eisoes wedi’i chyfaddawdu.

Mae tri eglurhad yn ffitio’r un llinell fewngofnodi. Defnyddiodd rhywun gyfrinair wedi’i ddwyn, a gwnaeth y porth yn union yr hyn y cafodd ei adeiladu ar ei gyfer. Mewngofnododd gliniadur a oedd wedi’i gyfaddawdu’n gynharach fel arfer. Rhoddodd gwasanaeth agored heb gysylltiad y fynedfa wirioneddol, a gweithred ddiweddarach ac ar wahân gan yr un actor yw’r sesiwn VPN.

Mae pob eglurhad yn rhagweld tystiolaeth wahanol mewn mannau eraill yn yr amgylchedd, a dyna pam mae’n rhaid i’r ymchwiliad chwilio am y rhagfynegiadau hynny yn hytrach nag am gadarnhad o’r cyntaf sy’n ffitio. Mae cyfrinair wedi’i ddwyn yn rhagweld daearyddiaeth neu amser dilysu anarferol. Mae gliniadur wedi’i gyfaddawdu yn rhagweld arteffactau gwesteiwr cyn y mewngofnodiad. Mae man mynediad heb gysylltiad yn rhagweld gweithgarwch nad oes ganddo ddim i’w wneud â’r porth o gwbl.

Cadwch y digwyddiadau ar wahân cyn eu hadrodd

Ysgrifennwch y digwyddiadau ar wahân cyn bod unrhyw naratif yn bodoli, oherwydd mae naratif yn gwahodd trefnu’r llinell amser o amgylch rhywun dan amheuaeth. Dylai pob llinell ddweud beth mae’r cofnod hwnnw’n ei sefydlu ac, ar wahân, beth na all ei sefydlu ar ei ben ei hun. Y foment y caiff dwy linell eu huno’n un frawddeg, mae dehongliad eisoes wedi ennill.

Sylwch fod y digwyddiad olaf yn ymwneud â chanfod yn hytrach nag â’r ymosodwr. Mae amser darganfod ac amser cyfaddawdu fel arfer oriau neu wythnosau ar wahân, a bydd adroddiad sy’n eu cyfuno yn camarwain pob darllenydd sy’n dod ar eich ôl.

Cofnodwch o ble y daeth pob stamp amser, nid yn unig beth mae’n ei ddweud. Mae amser derbyn casglwr, amser digwyddiad ac amser canfod yn dri rhif gwahanol, a gostegu eu normaleiddio i un golofn yw sut mae llinell amser yn cael siâp na chafodd y dystiolaeth erioed.

Ymunwch gofnodion yn unig lle mae dynodwyr yn cytuno

Mae uno cofnodion yn ddamcaniaeth, nid yn gam fformatio. Rhaid i enw’r cyfrif, y cyfeiriad VPN a neilltuwyd, y gwesteiwr targed a dynodydd y sesiwn gytuno cyn i ddwy res ddod yn un stori. Nid yw cyfeiriad cyhoeddus a rennir yn ddigon, oherwydd mae’n cael ei rannu trwy ddyluniad.

Darllenwch y tabl o’r gwaelod i fyny pan fyddwch yn olrhain mynediad, ac o’r brig i lawr pan fyddwch yn pennu cwmpas effaith, oherwydd mae’r ddau gwestiwn angen cyfeiriadau croes. Lle mae dynodwyr yn cytuno mewn gwirionedd, dywedwch hynny a dyfynnwch y ddau gofnod. Lle nad ydynt yn cytuno, gadewch y bwlch yn weladwy yn hytrach na’i gau â thybiaeth.

Dyma hefyd lle mae enw defnyddiwr cyfarwydd yn camarwain. Gall yr un cyfrif gael ei ddefnyddio gan y deiliad cyfreithlon yn y bore a chan rywun arall yn y nos, ac ni all enw’r cyfrif ei hun eu gwahaniaethu. Priodolwch y cyfrif, yna priodolwch y person ar wahân, a dim ond pan fydd rhywbeth yn cefnogi hynny. Gwnaeth y rhan fwyaf o linellau amser sy’n chwalu wrth adolygu yr union gam hwn yn rhy gyflym.

Mae cofnodion ar goll yn fwlch, nid yn negyddol

Nid yw absenoldeb digwyddiadau cyfrinair aflwyddiannus yn profi bod y mewngofnodiad llwyddiannus yn gyfreithlon. Mae cymwysterau wedi’u dwyn dilys yn cynhyrchu cofnod dilysu llwyddiannus ac nid oes unrhyw fethiannau o gwbl, a dyna’n union sy’n gwneud dwyn cymwysterau yn ddeniadol.

Yn yr un modd, mae porth sydd ar gau heddiw yn dweud rhywbeth am heddiw. Nid yw’n dweud dim am a oedd y gwasanaeth hwnnw’n agored bryd hynny, a oedd yn agored i niwed bryd hynny, neu a gariodd yr ymosodiad. Ffurfweddiad hanesyddol a thystiolaeth y gwasanaeth yw’r unig ffordd i gau’r bwlch hwnnw.

Datganwch y bwlch yn glir yn yr adroddiad. Mae «Nid oes gennym gofnodion ar gyfer y cyfnod hwnnw» yn frawddeg amddiffynadwy; nid yw «ni ddigwyddodd dim arall» felly, a bydd yn cael ei dyfynnu’n ôl atoch. Mae gan fylchau berchnogion hefyd: enwch y system a ddylai fod wedi cynhyrchu’r cofnod a pham na wnaeth. Mae’r llinell honno’n troi hepgoriad yn eitem unioni.

Ysgrifennwch ganfyddiadau ar y lefel y mae’r dystiolaeth yn ei chefnogi

Cydlynu cadw, cyfyngu ac adfer trwy berchemnog yr digwyddiad yn hytrach nag o’i gwmpas. Mae canllaw technegol CISA yn pwysleisio casglu arteffactau a chofnodion perthnasol cyn i unioni newid yr hyn sy’n parhau ar gael, ac mae’r drefn honno’n bwysicach nag unrhyw un offeryn.

Nid yw ail-redeg ecsbloit tybiedig yn erbyn offer byw i gau’r bwlch yn werth y risg y mae’n ei ychwanegu. Nid yw prawf sy’n dangos y gallai ymosodiad weithio yn dystiolaeth ei fod wedi gweithio, a’r gwahaniaeth rhwng y ddau osodiad hynny yw holl ddisgyblaeth yr ymarfer.

Gorffennwch â phedair rhestr: beth a arsylwyd, pa berthnasoedd y mae’r cofnodion yn eu cefnogi, beth sy’n parhau’n ddamcaniaeth, a pha gofnodion sydd ar goll. Mae «Defnyddiwyd cyfrif VPN yn ystod y digwyddiad» yn perthyn i’r ail restr pan fydd y cofnodion yn cefnogi hynny. Nid yw «Achosodd y VPN y ransomware» yn perthyn yn unman nes bod rhywbeth yn sefydlu achosiaeth.