Σύνδεση VPN και μετά ransomware: τι στηρίζουν τα στοιχεία

Όλα τα παρακάτω χρησιμοποιούν ένα υποθετικό αρχείο καταγραφής, συναρμολογημένο για να δείξει ένα σχήμα και όχι για να περιγράψει πραγματική υπόθεση. Διαβάζεται σαν αλυσίδα: μια ταυτοποίηση πύλης στις 02:14, μια συνεδρία επιφάνειας εργασίας στις 02:19, μια αλλαγή προνομιακού λογαριασμού στις 02:41 και κρυπτογραφημένα αρχεία που βρέθηκαν στις 03:02. Η πρώτη γραμμή μοιάζει με την απάντηση και η αναφορά συχνά γράφεται σαν να είναι αυτή. Μια σύνδεση είναι ένα συμβάν που κατέγραψε μια πύλη, όχι ένα εύρημα για το πώς μπήκε κάποιος, και αυτή η διαφορά καθορίζει τι κάνετε μετά.

Το σύμπτωμα: μια σύνδεση που μοιάζει με την απάντηση

Τα αρχεία ταυτοποίησης είναι τα πιο εύκολα στοιχεία να αποκτηθούν και τα πιο εύκολα να υπερερμηνευτούν. Δείχνουν ότι η υπηρεσία δέχτηκε ένα διαπιστευτήριο σε μια στιγμή, από μια διεύθυνση, για έναν λογαριασμό. Δεν δείχνουν ποιος έλεγχε το διαπιστευτήριο, αν η πύλη εκμεταλλεύτηκε ή αν η συσκευή του κατόχου του λογαριασμού ήταν ήδη παραβιασμένη.

Τρεις εξηγήσεις ταιριάζουν στην ίδια γραμμή σύνδεσης. Κάποιος χρησιμοποίησε κλεμμένο κωδικό πρόσβασης και η πύλη έκανε ακριβώς αυτό για το οποίο είναι φτιαγμένη. Ένας φορητός υπολογιστής που είχε παραβιαστεί νωρίτερα συνδέθηκε απλώς ως συνήθως. Μια άσχετη εκτεθειμένη υπηρεσία παρείχε την πραγματική είσοδο και η συνεδρία VPN είναι μεταγενέστερη, χωριστή ενέργεια του ίδιου δράστη.

Κάθε εξήγηση προβλέπει διαφορετικά στοιχεία αλλού στο περιβάλλον, γι’ αυτό η έρευνα πρέπει να αναζητά αυτές τις προβλέψεις και όχι επιβεβαίωση της πρώτης που ταιριάζει. Ένας κλεμμένος κωδικός προβλέπει ασυνήθιστη γεωγραφία ή χρονισμό ταυτοποίησης. Ένας παραβιασμένος φορητός προβλέπει τεχνουργήματα κεντρικού υπολογιστή πριν από τη σύνδεση. Ένα άσχετο σημείο εισόδου προβλέπει δραστηριότητα που δεν έχει καμία σχέση με την πύλη.

Κρατήστε τα συμβάντα χωριστά πριν τα αφηγηθείτε

Γράψτε τα συμβάντα χωριστά πριν υπάρξει οποιαδήποτε αφήγηση, γιατί μια αφήγηση προσκαλεί το χρονολόγιο να τακτοποιηθεί γύρω από έναν ύποπτο. Κάθε γραμμή πρέπει να λέει τι τεκμηριώνει αυτό το αρχείο και, χωριστά, τι δεν μπορεί να τεκμηριώσει μόνο του. Τη στιγμή που δύο γραμμές συγχωνεύονται σε μία πρόταση, μια ερμηνεία έχει ήδη κερδίσει.

Προσέξτε ότι το τελευταίο συμβάν αφορά την ανίχνευση και όχι τον επιτιθέμενο. Ο χρόνος ανακάλυψης και ο χρόνος παραβίασης απέχουν συνήθως ώρες ή εβδομάδες, και μια αναφορά που τους εξισώνει θα παραπλανήσει κάθε αναγνώστη που έρχεται μετά από εσάς.

Καταγράψτε από πού προήλθε κάθε χρονική σφραγίδα, όχι μόνο τι λέει. Ο χρόνος παραλαβής από τον συλλέκτη, ο χρόνος συμβάντος και ο χρόνος ανίχνευσης είναι τρεις διαφορετικοί αριθμοί, και η σιωπηλή κανονικοποίησή τους σε μία στήλη είναι ο τρόπος με τον οποίο ένα χρονολόγιο αποκτά σχήμα που τα στοιχεία δεν είχαν ποτέ.

Συνδέστε εγγραφές μόνο όπου συμφωνούν τα αναγνωριστικά

Η συγχώνευση εγγραφών είναι υπόθεση, όχι βήμα μορφοποίησης. Το όνομα λογαριασμού, η εκχωρημένη διεύθυνση VPN, ο κεντρικός υπολογιστής προορισμού και το αναγνωριστικό συνεδρίας πρέπει να συμφωνούν πριν δύο γραμμές γίνουν μία ιστορία. Μια κοινή δημόσια διεύθυνση δεν αρκεί, γιατί είναι κοινή εξ ορισμού.

Διαβάστε τον πίνακα από κάτω προς τα πάνω όταν ιχνηλατείτε μια είσοδο, και από πάνω προς τα κάτω όταν προσδιορίζετε την έκταση της επίπτωσης, γιατί οι δύο ερωτήσεις χρειάζονται αντίθετες κατευθύνσεις. Όπου τα αναγνωριστικά συμφωνούν πράγματι, πείτε το και παραπέμψτε και στις δύο εγγραφές. Όπου δεν συμφωνούν, αφήστε το κενό ορατό αντί να το κλείσετε με μια υπόθεση.

Εδώ επίσης παραπλανά ένα οικείο όνομα χρήστη. Ο ίδιος λογαριασμός μπορεί να χρησιμοποιηθεί από τον νόμιμο κάτοχο το πρωί και από κάποιον άλλο τη νύχτα, και το όνομα λογαριασμού από μόνο του δεν μπορεί να τους ξεχωρίσει. Αποδώστε τον λογαριασμό, μετά αποδώστε το πρόσωπο χωριστά, και μόνο όταν κάτι το στηρίζει. Τα περισσότερα χρονολόγια που καταρρέουν στην ανασκόπηση έκαναν ακριβώς αυτό το βήμα πολύ γρήγορα.

Τα αρχεία που λείπουν είναι κενό, όχι αρνητικό εύρημα

Η απουσία συμβάντων αποτυχημένου κωδικού δεν αποδεικνύει ότι η επιτυχής σύνδεση ήταν νόμιμη. Έγκυρα κλεμμένα διαπιστευτήρια παράγουν επιτυχή εγγραφή ταυτοποίησης και καμία αποτυχία, και αυτό ακριβώς κάνει την κλοπή διαπιστευτηρίων ελκυστική.

Παρομοίως, μια θύρα που είναι κλειστή σήμερα λέει κάτι για το σήμερα. Δεν λέει τίποτα για το αν αυτή η υπηρεσία ήταν εκτεθειμένη τότε, αν ήταν ευάλωτη τότε ή αν μετέφερε την επίθεση. Η ιστορική διαμόρφωση και τα στοιχεία της υπηρεσίας είναι ο μόνος τρόπος να κλείσει αυτό το κενό.

Δηλώστε το κενό ρητά στην αναφορά. «Δεν έχουμε αρχεία για εκείνο το διάστημα» είναι μια υπερασπίσιμη πρόταση· «δεν συνέβη τίποτα άλλο» δεν είναι, και θα σας το παραθέσουν πίσω. Τα κενά έχουν και ιδιοκτήτες: ονομάστε το σύστημα που θα έπρεπε να είχε παράγει την εγγραφή και γιατί δεν το έκανε. Αυτή η γραμμή μετατρέπει μια παράλειψη σε στοιχείο αποκατάστασης.

Γράψτε τα ευρήματα στο επίπεδο που στηρίζουν τα στοιχεία

Συντονίστε τη διατήρηση, τον περιορισμό και την ανάκτηση μέσω του ιδιοκτήτη του περιστατικού και όχι παρακάμπτοντάς τον. Η τεχνική καθοδήγηση της CISA τονίζει τη συλλογή σχετικών τεχνουργημάτων και αρχείων πριν η αποκατάσταση αλλάξει ό,τι παραμένει διαθέσιμο, και αυτή η σειρά μετράει περισσότερο από οποιοδήποτε μεμονωμένο εργαλείο.

Η επανεκτέλεση μιας ύποπτης εκμετάλλευσης σε ζωντανό εξοπλισμό για να κλείσει το κενό δεν αξίζει τον πρόσθετο κίνδυνο. Ένα τεστ που δείχνει ότι μια επίθεση θα μπορούσε να δουλέψει δεν είναι απόδειξη ότι δούλεψε, και η διαφορά μεταξύ των δύο δηλώσεων είναι όλη η πειθαρχία της άσκησης.

Τελειώστε με τέσσερις λίστες: τι παρατηρήθηκε, ποιες σχέσεις στηρίζουν τα αρχεία, τι παραμένει υπόθεση και ποια αρχεία δεν είναι διαθέσιμα. «Ένας λογαριασμός VPN χρησιμοποιήθηκε κατά τη διάρκεια του περιστατικού» ανήκει στη δεύτερη λίστα όταν τα αρχεία το στηρίζουν. «Το VPN προκάλεσε το ransomware» δεν ανήκει πουθενά μέχρι κάτι να τεκμηριώσει αιτιότητα.