VPN-kirjautuminen ja sitten kiristyshaittaohjelma: mitä todisteet tukevat
Kirjautuminen kello 02:14 ja salatut tiedostot kello 03:02 ovat tutkimisen arvoinen sarja, eivät sisääntulopiste. Pidä todennuksen, istunnon ja isäntän todisteet erillään.
Kaikki alla käyttää hypoteettista tietuetta, joka on koottu näyttämään muoto eikä kuvaamaan todellista tapausta. Se luetaan kuin ketju: yhdyskäytävän todennus kello 02:14, työpöytäistunto kello 02:19, etuoikeutetun tilin muutos kello 02:41 ja salatut tiedostot, jotka löydettiin kello 03:02. Ensimmäinen rivi näyttää vastaukselta, ja raportti kirjoitetaan usein ikään kuin se olisi sitä. Kirjautuminen on tapahtuma, jonka yhdyskäytävä kirjasi, ei havainto siitä, miten joku pääsi sisään, ja tämä ero ratkaisee, mitä teet seuraavaksi.
Oire: kirjautuminen, joka näyttää vastaukselta
Todennustietueet ovat helpoimmin hankittavia todisteita ja helpoimmin ylitulkittavia. Ne osoittavat, että palvelu hyväksyi tunnistetiedon tiettynä aikana, tietystä osoitteesta, tietylle tilille. Ne eivät osoita, kuka tunnistetietoa hallitsi, käytettiinkö yhdyskäytävää hyväksi vai oliko tilin omistajan laite jo vaarantunut.
Kolme selitystä sopii samaan kirjautumisriviin. Joku käytti varastettua salasanaa, ja yhdyskäytävä teki täsmälleen sen, mitä varten se on rakennettu. Aiemmin vaarantunut kannettava tietokone kirjautui sisään aivan tavalliseen tapaan. Erillinen altistunut palvelu tarjosi varsinaisen sisäänpääsyn, ja VPN-istunto on saman toimijan myöhempi, erillinen toimenpide.
Jokainen selitys ennustaa erilaisia todisteita muualla ympäristössä, minkä vuoksi tutkinnan on etsittävä näitä ennusteita eikä ensimmäisen sopivan selityksen vahvistusta. Varastettu salasana ennustaa epätavallista todennuksen maantiedettä tai ajoitusta. Vaarantunut kannettava ennustaa isännän artefakteja ennen kirjautumista. Erillinen sisääntulopiste ennustaa toimintaa, jolla ei ole mitään tekemistä yhdyskäytävän kanssa.
Pidä tapahtumat erillään ennen kuin kerrot niistä
Kirjoita tapahtumat erikseen ennen kuin mitään kertomusta on olemassa, koska kertomus kutsuu järjestämään aikajanan epäillyn ympärille. Jokaisen rivin pitäisi kertoa, mitä kyseinen tietue todentaa, ja erikseen, mitä se ei yksin voi todentaa. Hetkellä, jolloin kaksi riviä sulautuu yhdeksi lauseeksi, tulkinta on jo voittanut.
Huomaa, että viimeinen tapahtuma koskee havaitsemista eikä hyökkääjää. Havaitsemisaika ja vaarantumisaika ovat tavallisesti tunteja tai viikkoja erillään, ja raportti, joka rinnastaa ne, johtaa harhaan jokaista lukijaa, joka tulee sinun jälkeesi.
Kirjaa, mistä kukin aikaleima tuli, ei vain sitä, mitä se sanoo. Kerääjän vastaanottoaika, tapahtuma-aika ja havaitsemisaika ovat kolme eri lukua, ja niiden hiljainen normalisointi yhdeksi sarakkeeksi on se, miten aikajana saa muodon, jota todisteilla ei koskaan ollut.
Yhdistä tietueita vain siellä, missä tunnisteet täsmäävät
Tietueiden yhdistäminen on hypoteesi, ei muotoiluvaihe. Tilin nimi, määritetty VPN-osoite, kohdeisäntä ja istuntotunnisteiden on täsmättävä ennen kuin kahdesta rivistä tulee yksi tarina. Jaettu julkinen osoite ei riitä, koska se on jaettu suunnittelun mukaan.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lue taulukkoa alhaalta ylös, kun jäljität sisäänpääsyä, ja ylhäältä alas, kun rajaat vaikutusta, koska nämä kaksi kysymystä tarvitsevat vastakkaiset suunnat. Missä tunnisteet todella täsmäävät, sano se ja viittaa molempiin tietueisiin. Missä ne eivät täsmää, jätä aukko näkyväksi sen sijaan, että sulkisit sen oletuksella.
Tässä myös tuttu käyttäjänimi johtaa harhaan. Samaa tiliä voi käyttää laillinen haltija aamulla ja joku muu yöllä, eikä pelkkä tilin nimi voi erottaa heitä. Kohdista tili, sitten kohdista henkilö erikseen, ja vain kun jokin tukee sitä. Useimmat katselmuksessa hajoavat aikajanat tekivät juuri tämän vaiheen liian nopeasti.
Puuttuvat lokit ovat aukko, ei negatiivinen todiste
Epäonnistuneiden salasanojen tapahtumien puuttuminen ei todista, että onnistunut kirjautuminen oli laillinen. Kelvolliset varastetut tunnistetiedot tuottavat onnistuneen todennustietueen eivätkä yhtään epäonnistumista, ja juuri se tekee tunnistetietojen varkaudesta houkuttelevaa.
Samoin tänään suljettu portti kertoo jotain tästä päivästä. Se ei kerro mitään siitä, oliko kyseinen palvelu silloin altistunut, oliko se silloin haavoittuvainen tai kantoiko se hyökkäyksen. Historiallinen kokoonpano ja palvelun todisteet ovat ainoa tapa sulkea tämä aukko.
Ilmoita aukko selvästi raportissa. »Meillä ei ole tietueita siltä väliltä« on puolustettava lause; »muuta ei tapahtunut« ei ole, ja se lainataan sinulle takaisin. Aukoilla on myös omistajat: nimeä järjestelmä, jonka olisi pitänyt tuottaa tietue, ja miksi se ei tehnyt niin. Tämä rivi muuttaa laiminlyönnin korjauskohdaksi.
Kirjoita havainnot sillä tasolla, jota todisteet tukevat
Koordinoi säilytys, rajoittaminen ja palautuminen tapahtuman omistajan kautta eikä hänen ohitseen. CISAn tekninen ohje korostaa asiaankuuluvien artefaktien ja lokien keräämistä ennen kuin palautus muuttaa sitä, mikä on vielä saatavilla, ja tämä järjestys on tärkeämpi kuin mikään yksittäinen työkalu.
Epäillyn exploitin uudelleenajaminen tuotantolaitteistolla aukon sulkemiseksi ei ole lisäriskin arvoista. Testi, joka osoittaa, että hyökkäys voisi toimia, ei ole todiste siitä, että se toimi, ja näiden kahden väitteen ero on koko harjoituksen kurinalaisuus.
Lopeta neljään luetteloon: mitä havaittiin, mitä suhteita tietueet tukevat, mikä jää hypoteesiksi ja mitkä tietueet eivät ole saatavilla. »Tapahtuman aikana käytettiin VPN-tiliä« kuuluu toiseen luetteloon, kun tietueet tukevat sitä. »VPN aiheutti kiristyshaittaohjelman« ei kuulu mihinkään, ennen kuin jokin osoittaa syy-yhteyden.