VPN-oanmelding en dan ransomware: wat de bewiisstikken stypje
In oanmelding om 02:14 en fersifere bestannen om 03:02 is in folchoarder dy’t ûndersocht wurde moat, gjin tagongspunt. Hâld bewiis foar autentikaasje, sesje en host apart.
Alles hjirûnder brûkt in hypotetysk record, gearstald om in foarm sjen te litten ynstee fan in echte saak te beskriuwen. It lêst as in keatling: in gateway-autentikaasje om 02:14, in buroblêdsesje om 02:19, in feroaring fan in privilegiearre akkount om 02:41 en fersifere bestannen fûn om 03:02. De earste rigel liket it antwurd, en it rapport wurdt faak skreaun as wie it sa. In oanmelding is in barren dat in gateway fêstlein hat, gjin befinning oer hoe’t immen binnenkaam, en dat ferskil beslútet wat jo dêrnei dogge.
It symptoom: in oanmelding dy’t op it antwurd liket
Autentikaasjerecords binne it maklikste bewiis om te krijen en it maklikste om te oerlézen. Se litte sjen dat de tsjinst in legitimatie op in stuit akseptearre, fan in adres, foar in akkount. Se litte net sjen wa’t de legitimatie kontrolearre, of de gateway misbrûkt waard, of it apparaat fan ’e akkounthâlder al kompromittearre wie.
Trije ferklearrings passe op deselde oanmeldingsrigel. Immen brûkte in stellen wachtwurd, en de gateway die krekt wat er foar boud is. In laptop dy’t earder kompromittearre wie, meldde him gewoan oan lykas gewoanlik. In net besibbe bleatstelde tsjinst levere de echte tagong, en de VPN-sesje is in lettere, aparte aksje fan deselde akteur.
Elke ferklearring foarseit oar bewiis earne oars yn ’e omjouwing, dêrom moat it ûndersyk nei dy foarsizzings sykje, net nei befestiging fan ’e earste dy’t past. In stellen wachtwurd foarseit ûngewoane autentikaasjegeografy of -tiid. In kompromittearre laptop foarseit hostartefakten foar de oanmelding. In net besibbe tagongspunt foarseit aktiviteit dy’t hielendal neat mei de gateway te krijen hat.
Hâld de barrens apart foardat jo se fertelle
Skriuw de barrens apart op foardat der in fertelling is, want in fertelling noeget út om de tiidline om in fertochte hinne te ordenjen. Elke rigel moat sizze wat dat record fêststelt en, apart, wat it allinich net fêststelle kin. Op it stuit dat twa rigels gearranne ta ien sin, hat in ynterpretaasje al wûn.
Merk op dat it lêste barren oer ûntdekking giet en net oer de oanfaller. Untdekkingsstiid en kompromitaasjestiid lizze gewoanlik oeren of wiken útinoar, en in rapport dat se lykstelt sil elke lêzer nei jo misliede.
Skriuw op wêr’t elke tiidstimpel wei kaam, net allinnich wat er seit. In ûntfangstiid fan in samler, in barrenstiid en in ûntdekkingsstiid binne trije ferskillende getallen, en se stilwei yn ien kolom normalisearje is hoe’t in tiidline in foarm krijt dy’t it bewiis nea hie.
Ferbyn records allinnich wêr’t identifiers oerienkomme
Records gearfoegje is in hypoteze, gjin opmaakstap. De akkountnamme, it tawiisde VPN-adres, de doelhost en de sesje-identifier moatte oerienkomme foardat twa rigen ien ferhaal wurde. In dield iepenbier adres is net genôch, want it wurdt fan ûntwerp dield.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lês de tabel fan ûnderen nei boppen as jo in tagong neigean, en fan boppen nei ûnderen as jo de ynfloed ôffreegje, want de twa fragen hawwe tsjinoerstelde rjochtingen nedich. Wêr’t identifiers echt oerienkomme, sis dat en ferwize nei beide records. Wêr’t se net oerienkomme, lit de kleau sichtber ynstee fan dy mei in oanname te sluten.
Hjir misliedt ek in fertroude brûkersnamme. Itselde akkount kin moarns troch de rjochtmjittige hâlder brûkt wurde en nachts troch immen oars, en de akkountnamme allinnich kin se net ûnderskiede. Skriuw it akkount ta, skriuw dêrnei de persoan apart ta, en allinnich as eat dat stypje. De measte tiidlinen dy’t by de resinsje útinoar falle, diene krekt dizze stap te fluch.
Ûntbrekkende logs binne in kleau, gjin negatyf bewiis
It ûntbrekken fan barrens mei mislearre wachtwurden bewiist net dat de slagge oanmelding rjochtmjittich wie. Jildige stellen legitimaties leverje in slagge autentikaasjerecord en hielendal gjin mislearrings, en dat is krekt wat stellen fan legitimaties oantreklik makket.
Lykwols seit in poarte dy’t hjoed ticht is eat oer hjoed. It seit neat oer oft dy tsjinst doe bleatsteld wie, oft dy doe kwetsber wie of oft dy de oanfal droech. Histoaryske konfiguraasje en bewiis fan ’e tsjinst binne de iennige manier om dy kleau te sluten.
Neam de kleau eksplisyt yn it rapport. «Wy hawwe gjin records foar dat ynterval» is in ferdigenbere sin; «der barde neat oars» is it net, en it sil tsjin jo oanhelle wurde. Kleauwen hawwe ek eigners: neam it systeem dat it record produsearje moatten hie en wêrom’t it dat net die. Dy rigel makket fan in fersom in ferbetteringspunt.
Skriuw befinningen op it nivo dat it bewiis stypje
Koördinearje behâld, beheining en werstel fia de eigner fan it ynsidint ynstee fan om har hinne. De technyske rjochtline fan CISA beklammet it sammeljen fan relevante artefakten en logs foardat ferbettering feroaret wat noch beskikber is, en dy oarder is wichtiger as hokker inkeld ark dan ek.
In fermoede exploit opnij rinne litte tsjin libbene apparatuer om ’e kleau te sluten is it ekstra risiko net wurdich. In test dy’t sjen lit dat in oanfal wurkje koe, is gjin bewiis dat er wurke hat, en it ferskil tusken dy twa útspraken is de hiele dissipline fan ’e oefening.
Einigje mei fjouwer listen: wat waarnommen is, hokker relaasjes de records stypje, wat hypoteze bliuwt en hokker records net beskikber binne. «Der is by it ynsidint in VPN-akkount brûkt» heart by de twadde list as de records dat stypje. «De VPN feroarsake de ransomware» heart nearne, oant eat kausaliteit fêststelt.