VPN-login og derefter ransomware: hvad beviserne understøtter

Alt nedenstående bruger en hypotetisk logpost, sammensat for at vise en form frem for at beskrive en virkelig sag. Den læses som en kæde: en gateway-autentificering klokken 02:14, en skrivebordssession klokken 02:19, en ændring af en privilegeret konto klokken 02:41 og krypterede filer fundet klokken 03:02. Den første linje ser ud som svaret, og rapporten skrives ofte, som om den var det. Et login er en hændelse, en gateway registrerede, ikke en konklusion om, hvordan nogen kom ind, og den forskel afgør, hvad du gør næste gang.

Symptomet: et login, der ser ud som svaret

Autentificeringslogge er de nemmeste beviser at skaffe og de nemmeste at overfortolke. De viser, at tjenesten accepterede en legitimationsoplysning på et tidspunkt, fra en adresse, for en konto. De viser ikke, hvem der kontrollerede legitimationsoplysningen, om gatewayen blev udnyttet, eller om kontoindehaverens enhed allerede var kompromitteret.

Tre forklaringer passer på samme loginlinje. Nogen brugte en stjålen adgangskode, og gatewayen gjorde præcis, hvad den er bygget til. En bærbar computer, der var kompromitteret tidligere, loggede blot ind som sædvanligt. En urelateret eksponeret tjeneste gav den egentlige adgang, og VPN-sessionen er en senere, separat handling af samme aktør.

Hver forklaring forudsiger forskellige beviser andre steder i miljøet, og derfor skal undersøgelsen lede efter disse forudsigelser i stedet for en bekræftelse af den første, der passer. En stjålen adgangskode forudsiger usædvanlig autentificeringsgeografi eller -timing. En kompromitteret bærbar computer forudsiger værtsartefakter før login. Et urelateret indgangspunkt forudsiger aktivitet, der slet ikke har noget med gatewayen at gøre.

Hold hændelserne adskilt, før du fortæller om dem

Skriv hændelserne ned hver for sig, før der findes nogen fortælling, fordi en fortælling inviterer tidslinjen til at blive arrangeret omkring en mistænkt. Hver linje skal sige, hvad den logpost fastslår, og separat, hvad den ikke kan fastslå alene. I det øjeblik to linjer smeltes sammen til én sætning, har en fortolkning allerede vundet.

Bemærk, at den sidste hændelse handler om opdagelse og ikke om angriberen. Opdagelsestid og kompromitteringstid ligger rutinemæssigt timer eller uger fra hinanden, og en rapport, der sidestiller dem, vil vildlede enhver læser, der kommer efter dig.

Registrér, hvor hvert tidsstempel kom fra, ikke kun hvad det siger. En collectors modtagelsestid, en hændelsestid og en opdagelsestid er tre forskellige tal, og at normalisere dem lydløst til én kolonne er, hvordan en tidslinje får en form, som beviserne aldrig havde.

Sammenføj kun logge, hvor identifikatorerne stemmer overens

At sammenføje logge er en hypotese, ikke et formateringstrin. Kontoens navn, den tildelte VPN-adresse, værtsmålet og sessionsidentifikatoren skal stemme overens, før to rækker bliver én historie. En delt offentlig adresse er ikke nok, fordi den er delt af design.

Læs tabellen nedefra og op, når du sporer en indgang, og oppefra og ned, når du afgrænser påvirkningen, fordi de to spørgsmål kræver modsatte retninger. Hvor identifikatorerne faktisk stemmer overens, så sig det og henvis til begge logge. Hvor de ikke gør, så lad hullet være synligt i stedet for at lukke det med en antagelse.

Det er også her, et velkendt brugernavn vildleder. Den samme konto kan bruges af den retmæssige indehaver om morgenen og af en anden om natten, og kontonavnet alene kan ikke skelne dem. Tildel kontoen, tildel derefter personen separat, og kun når noget understøtter det. De fleste tidslinjer, der falder fra hinanden i gennemgang, gjorde netop dette trin for hurtigt.

Manglende logge er et hul, ikke et negativt bevis

Fraværet af hændelser med mislykkede adgangskoder beviser ikke, at det vellykkede login var legitimt. Gyldige stjålne legitimationsoplysninger giver en vellykket autentificeringslog og slet ingen fejl, og det er præcis det, der gør tyveri af legitimationsoplysninger attraktivt.

På samme måde siger en port, der er lukket i dag, noget om i dag. Den siger intet om, hvorvidt den tjeneste var eksponeret dengang, hvorvidt den var sårbar dengang, eller hvorvidt den bar angrebet. Historisk konfiguration og tjenestebeviser er den eneste måde at lukke det hul.

Angiv hullet eksplicit i rapporten. «Vi har ingen logge for det interval» er en forsvarlig sætning; «der skete ikke noget andet» er det ikke, og det vil blive citeret tilbage til dig. Huller har også ejere: navngiv det system, der skulle have produceret loggen, og hvorfor det ikke gjorde. Den linje gør en udeladelse til et udbedringspunkt.

Skriv fund på det niveau, beviserne understøtter

Koordinér bevarelse, inddæmning og gendannelse gennem hændelsesejeren i stedet for uden om vedkommende. CISA’s tekniske vejledning understreger at indsamle relevante artefakter og logge, før udbedring ændrer, hvad der stadig er tilgængeligt, og den rækkefølge betyder mere end noget enkelt værktøj.

At køre et formodet exploit igen mod live-udstyr for at lukke hullet er ikke den ekstra risiko værd. En test, der viser, at et angreb kunne virke, er ikke bevis for, at det virkede, og forskellen mellem de to udsagn er hele disciplinen i øvelsen.

Afslut med fire lister: hvad der blev observeret, hvilke relationer loggene understøtter, hvad der forbliver hypotese, og hvilke logge der ikke er tilgængelige. «En VPN-konto blev brugt under hændelsen» hører til på den anden liste, når loggene understøtter det. «VPN forårsagede ransomware» hører ingen steder hen, før noget fastslår årsagssammenhæng.