VPN-i sisselogimine ja seejärel lunavara: mida tõendid toetavad
Sisselogimine kell 02:14 ja krüpteeritud failid kell 03:02 on uurimist väärt jada, mitte sisenemispunkt. Hoidke autentimise, sessiooni ja hosti tõendid eraldi.
Kõik allpool kasutab hüpoteetilist kirjet, mis on kokku pandud kuju näitamiseks, mitte tegeliku juhtumi kirjeldamiseks. Seda loetakse nagu ahelat: lüüsi autentimine kell 02:14, töölaua sessioon kell 02:19, privilegeeritud konto muutmine kell 02:41 ja krüpteeritud failid, mis leiti kell 03:02. Esimene rida näib vastusena ja raport kirjutatakse sageli nii, nagu see olekski vastus. Sisselogimine on sündmus, mille lüüs registreeris, mitte järeldus selle kohta, kuidas keegi sisse sai, ja see erinevus otsustab, mida te järgmisena teete.
Sümptom: sisselogimine, mis näib vastusena
Autentimiskirjed on kõige kergemini hankitavad tõendid ja kõige kergemini ületõlgendatavad. Need näitavad, et teenus võttis vastu mandaadi teatud ajal, teatud aadressilt, teatud konto jaoks. Need ei näita, kes mandaati kontrollis, kas lüüsi kasutati ära või kas kontoomaniku seade oli juba kompromiteeritud.
Kolm seletust sobivad sama sisselogimisreaga. Keegi kasutas varastatud parooli ja lüüs tegi täpselt seda, milleks see ehitatud on. Varem kompromiteeritud sülearvuti lihtsalt logis sisse nagu tavaliselt. Sõltumatu avatud teenus andis tegeliku sisenemise ja VPN-i sessioon on sama tegelase hilisem, eraldi tegevus.
Iga seletus ennustab keskkonnas mujal erinevaid tõendeid, mistõttu peab uurimine otsima neid ennustusi, mitte esimese sobiva seletuse kinnitust. Varastatud parool ennustab ebatavalist autentimise geograafiat või ajastust. Kompromiteeritud sülearvuti ennustab hosti artefakte enne sisselogimist. Sõltumatu sisenemispunkt ennustab tegevust, millel pole lüüsiga üldse mingit seost.
Hoidke sündmused eraldi enne, kui neist jutustate
Kirjutage sündmused eraldi üles enne, kui ükskõik milline jutustus olemas on, sest jutustus kutsub ajajoone kahtlusaluse ümber korrastama. Iga rida peaks ütlema, mida see kirje tuvastab, ja eraldi, mida see üksi tuvastada ei suuda. Hetkel, mil kaks rida ühte lausesse sulanduvad, on tõlgendus juba võitnud.
Pange tähele, et viimane sündmus puudutab avastamist, mitte ründajat. Avastamisaeg ja kompromiteerimisaeg jäävad tavaliselt tunde või nädalaid lahku, ja raport, mis need võrdsustab, eksitab iga lugejat, kes tuleb pärast teid.
Kirjutage üles, kust iga ajatempel pärineb, mitte ainult seda, mida see ütleb. Koguja vastuvõtuaeg, sündmuse aeg ja avastamisaeg on kolm erinevat arvu, ja nende vaikne ühte veergu normaliseerimine on see, kuidas ajajoon omandab kuju, mida tõenditel kunagi polnud.
Ühendage kirjeid ainult seal, kus identifikaatorid kattuvad
Kirjete ühendamine on hüpotees, mitte vormindamise samm. Konto nimi, määratud VPN-i aadress, sihthost ja sessiooni identifikaator peavad kattuma, enne kui kahest reast saab üks lugu. Ühine avalik aadress ei ole piisav, sest see on ühine disaini järgi.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lugege tabelit alt üles, kui jälgite sisenemist, ja ülalt alla, kui piiritlete mõju, sest need kaks küsimust vajavad vastupidiseid suundi. Kus identifikaatorid tõesti kattuvad, öelge seda ja viidake mõlemale kirjele. Kus need ei kattu, jätke lünk nähtavaks, selle asemel et see oletusega sulgeda.
Siin eksitab ka tuttav kasutajanimi. Sama kontot võib hommikul kasutada seaduslik omanik ja öösel keegi teine, ning üksnes konto nimi ei suuda neid eristada. Omistage konto, seejärel omistage isik eraldi, ja ainult siis, kui miski seda toetab. Enamik ajajooni, mis ülevaatusel lagunevad, tegid just selle sammu liiga kiiresti.
Puuduvad logid on lünk, mitte eitav tõend
Ebaõnnestunud paroolide sündmuste puudumine ei tõesta, et edukas sisselogimine oli seaduslik. Kehtivad varastatud mandaadid annavad eduka autentimiskirje ja üldse mitte ebaõnnestumisi, ja just see teeb mandaatide varguse atraktiivseks.
Samamoodi ütleb täna suletud port midagi tänase kohta. See ei ütle midagi selle kohta, kas see teenus oli tol ajal avatud, kas see oli tol ajal haavatav või kas see kandis rünnet. Ajalooline konfiguratsioon ja teenuse tõendid on ainus viis selle lünga sulgemiseks.
Märkige lünk raportis selgesõnaliselt. „Meil pole selle intervalli kohta kirjeid“ on kaitstav lause; „midagi muud ei juhtunud“ ei ole, ja seda tsiteeritakse teile tagasi. Lünkadel on ka omanikud: nimetage süsteem, mis oleks pidanud kirje tootma, ja miks see seda ei teinud. See rida muudab puudujäägi paranduspunktiks.
Kirjutage järeldused tasemel, mida tõendid toetavad
Koordineerige säilitamist, tõkestamist ja taastamist intsidendi omaniku kaudu, mitte temast mööda. CISA tehniline juhend rõhutab asjakohaste artefaktide ja logide kogumist enne, kui taastamine muudab seda, mis veel kättesaadav on, ja see järjekord loeb rohkem kui ükski üksik tööriist.
Kahtlustatava ekspluadi uuesti käivitamine töötaval seadmestikul lünga sulgemiseks ei ole lisarisk väärt. Test, mis näitab, et rünne võiks toimida, ei ole tõend, et see toimis, ja nende kahe väite vahe on kogu harjutuse distsipliin.
Lõpetage nelja loendiga: mida täheldati, milliseid seoseid kirjed toetavad, mis jääb hüpoteesiks ja millised kirjed pole kättesaadavad. „Intsidendi ajal kasutati VPN-kontot“ kuulub teise loendisse, kui kirjed seda toetavad. „VPN põhjustas lunavara“ ei kuulu kuhugi, kuni miski tuvastab põhjuslikkuse.