VPN-Anmeldung und dann Ransomware: Was die Beweise stützen
Eine Anmeldung um 02:14 und verschlüsselte Dateien um 03:02 sind eine untersuchenswerte Abfolge, kein Einstiegspunkt. Halten Sie Authentifizierungs-, Sitzungs- und Host-Beweise getrennt.
Alles Folgende verwendet einen hypothetischen Datensatz, zusammengestellt, um eine Form zu zeigen, und nicht, um einen realen Fall zu beschreiben. Er liest sich wie eine Kette: eine Gateway-Authentifizierung um 02:14, eine Desktop-Sitzung um 02:19, eine Änderung an einem privilegierten Konto um 02:41 und verschlüsselte Dateien, die um 03:02 gefunden wurden. Die erste Zeile sieht wie die Antwort aus, und der Bericht wird oft so geschrieben, als wäre sie es. Eine Anmeldung ist ein Ereignis, das ein Gateway aufgezeichnet hat, keine Erkenntnis darüber, wie jemand hineingekommen ist, und dieser Unterschied entscheidet, was Sie als Nächstes tun.
Das Symptom: eine Anmeldung, die wie die Antwort aussieht
Authentifizierungsdatensätze sind die am leichtesten zu beschaffenden und am leichtesten überzubewertenden Beweise. Sie zeigen, dass der Dienst eine Anmeldeinformation zu einer Zeit, von einer Adresse, für ein Konto akzeptiert hat. Sie zeigen nicht, wer die Anmeldeinformation kontrollierte, ob das Gateway ausgenutzt wurde oder ob das Gerät des Kontoinhabers bereits kompromittiert war.
Drei Erklärungen passen auf dieselbe Anmeldezeile. Jemand verwendete ein gestohlenes Passwort, und das Gateway tat genau das, wofür es gebaut wurde. Ein Laptop, der früher kompromittiert worden war, meldete sich einfach wie gewohnt an. Ein unabhängiger exponierter Dienst lieferte den echten Einstieg, und die VPN-Sitzung ist eine spätere, getrennte Handlung desselben Akteurs.
Jede Erklärung sagt andere Beweise anderswo in der Umgebung voraus, weshalb die Untersuchung nach diesen Vorhersagen suchen muss und nicht nach der Bestätigung der ersten, die passt. Ein gestohlenes Passwort sagt eine ungewöhnliche Authentifizierungsgeografie oder -zeit voraus. Ein kompromittierter Laptop sagt Host-Artefakte vor der Anmeldung voraus. Ein unabhängiger Einstiegspunkt sagt Aktivität voraus, die überhaupt nichts mit dem Gateway zu tun hat.
Halten Sie die Ereignisse getrennt, bevor Sie sie erzählen
Schreiben Sie die Ereignisse getrennt auf, bevor irgendeine Erzählung existiert, denn eine Erzählung lädt dazu ein, die Zeitachse um einen Verdächtigen herum zu ordnen. Jede Zeile sollte sagen, was dieser Datensatz belegt, und getrennt davon, was er allein nicht belegen kann. In dem Moment, in dem zwei Zeilen zu einem Satz verschmelzen, hat eine Deutung bereits gewonnen.
Beachten Sie, dass das letzte Ereignis die Entdeckung betrifft und nicht den Angreifer. Entdeckungszeit und Kompromittierungszeit liegen routinemäßig Stunden oder Wochen auseinander, und ein Bericht, der sie gleichsetzt, wird jeden Leser nach Ihnen in die Irre führen.
Halten Sie fest, woher jeder Zeitstempel stammt, nicht nur, was er sagt. Die Empfangszeit eines Collectors, eine Ereigniszeit und eine Entdeckungszeit sind drei verschiedene Zahlen, und sie stillschweigend in eine Spalte zu normalisieren, ist der Weg, auf dem eine Zeitachse eine Form bekommt, die die Beweise nie hatten.
Fügen Sie Datensätze nur zusammen, wo Kennungen übereinstimmen
Datensätze zusammenzuführen ist eine Hypothese, kein Formatierungsschritt. Kontoname, zugewiesene VPN-Adresse, Zielhost und Sitzungskennung müssen übereinstimmen, bevor aus zwei Zeilen eine Geschichte wird. Eine gemeinsam genutzte öffentliche Adresse reicht nicht, denn sie wird konstruktionsbedingt geteilt.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lesen Sie die Tabelle von unten nach oben, wenn Sie einen Einstieg verfolgen, und von oben nach unten, wenn Sie die Auswirkung eingrenzen, weil die beiden Fragen entgegengesetzte Richtungen brauchen. Wo Kennungen tatsächlich übereinstimmen, sagen Sie es und führen Sie beide Datensätze an. Wo sie es nicht tun, lassen Sie die Lücke sichtbar, statt sie mit einer Annahme zu schließen.
Hier führt auch ein vertrauter Benutzername in die Irre. Dasselbe Konto kann morgens vom rechtmäßigen Inhaber und nachts von jemand anderem genutzt werden, und der Kontoname allein kann sie nicht unterscheiden. Ordnen Sie das Konto zu, dann getrennt die Person, und nur wenn etwas das stützt. Die meisten Zeitachsen, die in der Prüfung auseinanderfallen, haben genau diesen Schritt zu schnell gemacht.
Fehlende Logs sind eine Lücke, kein Negativbeweis
Das Fehlen von Ereignissen mit fehlgeschlagenen Passwörtern beweist nicht, dass die erfolgreiche Anmeldung legitim war. Gültige gestohlene Anmeldeinformationen erzeugen einen erfolgreichen Authentifizierungsdatensatz und überhaupt keine Fehlschläge, und genau das macht Anmeldeinformationsdiebstahl attraktiv.
Ebenso sagt ein Port, der heute geschlossen ist, etwas über heute. Er sagt nichts darüber, ob dieser Dienst damals exponiert war, ob er damals verwundbar war oder ob er den Angriff trug. Historische Konfiguration und Dienstbeweise sind der einzige Weg, diese Lücke zu schließen.
Benennen Sie die Lücke ausdrücklich im Bericht. „Für dieses Intervall haben wir keine Logs“ ist ein vertretbarer Satz; „sonst ist nichts passiert“ ist es nicht, und er wird Ihnen zurückzitiert werden. Lücken haben auch Eigentümer: Benennen Sie das System, das den Datensatz hätte erzeugen sollen, und warum es das nicht tat. Diese Zeile macht aus einer Auslassung einen Abhilfepunkt.
Schreiben Sie Befunde auf der Ebene, die die Beweise stützen
Koordinieren Sie Sicherung, Eindämmung und Wiederherstellung über den Incident-Eigentümer und nicht an ihm vorbei. Die technische Leitlinie von CISA betont, relevante Artefakte und Logs zu sammeln, bevor die Wiederherstellung ändert, was noch verfügbar ist, und diese Reihenfolge ist wichtiger als jedes einzelne Werkzeug.
Einen vermuteten Exploit gegen Produktivgeräte erneut auszuführen, um die Lücke zu schließen, ist das zusätzliche Risiko nicht wert. Ein Test, der zeigt, dass ein Angriff funktionieren könnte, ist kein Beweis dafür, dass er funktioniert hat, und der Unterschied zwischen diesen beiden Aussagen ist die ganze Disziplin der Übung.
Schließen Sie mit vier Listen: was beobachtet wurde, welche Beziehungen die Datensätze stützen, was Hypothese bleibt und welche Datensätze nicht verfügbar sind. „Während des Vorfalls wurde ein VPN-Konto verwendet“ gehört in die zweite Liste, wenn die Datensätze es stützen. „Das VPN verursachte die Ransomware“ gehört nirgendwohin, bis etwas Kausalität belegt.