VPN saio-hasiera eta gero ransomwarea: zer babesten duten frogak
02:14ko saio-hasiera eta 03:02ko fitxategi zifratuak ikertzeko moduko segida dira, ez sarbide-puntu bat. Eduki bereizita autentifikazio, saio eta ostalariaren frogak.
Hurrengo guztiak erregistro hipotetiko bat erabiltzen du, forma bat erakusteko osatua, ez benetako kasu bat deskribatzeko. Kate bat bezala irakurtzen da: 02:14an atebidearen autentifikazioa, 02:19an mahaigaineko saioa, 02:41ean pribilegiodun kontuaren aldaketa eta 03:02an aurkitutako fitxategi zifratuak. Lehen lerroa erantzuna dirudi, eta txostena sarritan hala balitz bezala idazten da. Saio-hasiera atebideak erregistratutako gertaera bat da, ez norbait nola sartu zen buruzko aurkikuntza, eta alde horrek erabakitzen du zer egingo duzun gero.
Sintoma: erantzuna dirudien saio-hasiera
Autentifikazio-erregistroak lortzeko frogarik errazenak eta gehiegi interpretatzeko errazenak dira. Erakusten dute zerbitzuak kredentzial bat onartu zuela une batean, helbide batetik, kontu baterako. Ez dute erakusten nork kontrolatzen zuen kredentziala, atebidea ustiatu zen ala ez, edo kontuaren jabearen gailua jada konprometituta zegoen ala ez.
Hiru azalpen egokitzen dira saio-hasierako lerro berera. Norbaitek lapurtutako pasahitz bat erabili zuen, eta atebideak zehazki egiteko eraikia izan zen gauza egin zuen. Lehenago konprometitutako eramangarri batek ohikoa zen bezala hasi zuen saioa. Erlaziorik gabeko zerbitzu esposatu batek benetako sarbidea eman zuen, eta VPN saioa aktore beraren geroagoko ekintza bereizia da.
Azalpen bakoitzak inguruneko beste leku batean froga desberdinak iragartzen ditu, eta horregatik ikerketak iragarpen horien bila joan behar du, egokitzen den lehenengoaren berrespenaren bila joan beharrean. Lapurtutako pasahitz batek autentifikazio-geografia edo -denbora ezohikoak iragartzen ditu. Konprometitutako eramangarri batek ostalariaren artefaktuak iragartzen ditu saio-hasiera baino lehen. Erlaziorik gabeko sarbide-puntu batek atebidearekin zerikusirik ez duen jarduera iragartzen du.
Eduki gertaerak bereizita kontatu aurretik
Idatzi gertaerak bereizita kontakizunik existitzen ez denean, kontakizun batek denbora-lerroa susmagarri baten inguruan antolatzera gonbidatzen baititu. Lerro bakoitzak esan behar du zer frogatzen duen erregistro horrek eta, bereizita, zer ezin duen bakarka frogatu. Bi lerro esaldi bakarrean bat egiten duten unean, interpretazio bat dagoeneko nagusitu da.
Ohartu azken gertaera detekzioari buruzkoa dela, ez erasotzaileari. Aurkikuntza-denbora eta konpromiso-denbora ordu edo aste batzuetan bereizita egoten dira normalean, eta biak parekatzen dituen txosten batek zu ondoren datorren irakurle guztiak engainatuko ditu.
Erregistratu denbora-marka bakoitza nondik datozen, ez soilik zer esaten duen. Biltzailearen jasotze-denbora, gertaera-denbora eta detekzio-denbora hiru zenbaki desberdin dira, eta isilpean zutabe bakarrera normalizatzea da denbora-lerroak frogak inoiz izan ez zuen forma bat eskuratzeko bidea.
Batu erregistroak identifikatzaileak bat datozen lekuetan soilik
Erregistroak batzea hipotesi bat da, ez formatu-urrats bat. Kontuaren izena, esleitutako VPN helbidea, helmugako ostalaria eta saioaren identifikatzailea bat etorri behar dira bi errenkada istorio bat izan aurretik. Helbide publiko partekatu bat ez da nahikoa, diseinuz partekatua baita.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Irakurri taula behetik gora sarbide bat jarraitzen duzunean, eta goitik behera eragina mugatzen duzunean, bi galderok aurkako norabideak behar dituztelako. Identifikatzaileak benetan bat datozen lekuan, esan ezazu eta aipatu bi erregistroak. Bat ez datozen lekuan, utzi hutsunea ikusgai, suposizio batekin itxi beharrean.
Hemen engainatzen du ere erabiltzaile-izen ezagun batek. Kontu bera goizean jabe legitimoa erabiltzen ari da eta gauean beste norbait, eta kontuaren izenak soilik ezin ditu bereizi. Egiazta ezazu kontua, gero pertsonari egotzi bereizita, eta hori zerbaiten babesa duenean soilik. Berrikuspenean desegiten diren denbora-lerro gehienek urrats hau azkarregi egin zuten.
Falta diren erregistroak hutsunea dira, ez froga negatiboa
Pasahitz huts egindako gertaeren absentziak ez du frogatzen saio-hasiera arrakastatsua legitimo izan zenik. Lapurtutako kredentzial baliozkoek autentifikazio-erregistro arrakastatsu bat sortzen dute eta ez dute hutsegiterik eragiten, eta hori da hain zuzen kredentzialen lapurketa erakargarri egiten duena.
Era berean, gaur itxita dagoen ataka batek gaurkoari buruz zerbait esaten du. Ez du ezer esaten zerbitzu hori orduan esposatuta ote zegoen, orduan ahula ote zen edo erasoaldia jasan ote zuen. Konfigurazio historikoak eta zerbitzuaren frogek baino ezin dute hutsune hori itxi.
Adierazi hutsunea modu esplizituan txostenean. «Ez dugu erregistrorik tarte horretarako» esaldi defendagarria da; «ez zen beste ezer gertatu» ez da, eta hitzez hitz aipatuko dizute. Hutsuneek jabeak ere badituzte: izendatu erregistroa sortu behar zuen sistema eta zergatik ez zuen egin. Lerro horrek huts egite bat konponketa-elementu bihurtzen du.
Idatzi aurkikuntzak frogek babesten duten mailan
Koordinatu zaintzea, eustea eta berreskuratzea intzidentziaren jabearen bitartez, haren inguruan ibili beharrean. CISAren gida teknikoak nabarmentzen du artefaktu eta erregistro garrantzitsuak biltzea berreskuratzeak eskuragarri geratzen dena aldatu aurretik, eta ordena horrek tresna bakarrak baino gehiago balio du.
Suskitua den exploit bat zuzenean ekipo bizian berriro exekutatzeak hutsunea ixteko ez du gehitzen duen arriskua merezi. Eraso batek funtziona zezakeela erakusten duen proba ez da funtzionatu zuenaren froga, eta bi baieztapen horien arteko aldea ariketa osoaren diziplina da.
Amaitu lau zerrendekin: zer behatu zen, zer harreman babesten dituzten erregistroek, zer geratzen den hipotesi gisa eta zein erregistro ez dauden eskuragarri. «Intzidentzian zehar VPN kontu bat erabili zen» bigarren zerrendakoa da erregistroek hori babesten dutenean. «VPNak ransomwarea eragin zuen» ez da inongo zerrendakoa, zerbait kausalitatea ezarri arte.