Logáil isteach VPN agus ansin ransomware: cad a thacaíonn an fhianaise leis
Logáil isteach ag 02:14 agus comhaid chriptithe ag 03:02 is seicheamh ar fiú imscrúdú a dhéanamh air, ní ionad iontrála. Coinnigh fianaise fíordheimhniúcháin, seisiúin agus óstaigh ar leithligh.
Úsáideann gach rud thíos taifead hipitéiseach, curtha le chéile chun cruth a thaispeáint seachas cás fíor a chur síos. Léitear é mar shlabhra: fíordheimhniú geata ag 02:14, seisiún deisce ag 02:19, athrú cuntais phribhléidigh ag 02:41 agus comhaid chriptithe a fuarthas ag 03:02. Breathnaíonn an chéad líne mar an freagra, agus is minic a scríobhtar an tuarascáil amhail is gurb é. Ócáid a thaifead geata is ea logáil isteach, ní fionnachtain faoin gcaoi a ndeachaigh duine isteach, agus socraíonn an difríocht sin cad a dhéanfaidh tú ansin.
An tsiomptóm: logáil isteach a bhreathnaíonn mar an freagra
Is iad taifid fhíordheimhniúcháin an fhianaise is éasca le fáil agus is éasca le róléamh. Taispeánann siad gur ghlac an tseirbhís le dintiúr ag am áirithe, ó sheoladh áirithe, do chuntas áirithe. Ní thaispeánann siad cé a bhí ag rialú an dintiúir, ar baineadh úsáid as an ngeata, ná ar cuireadh isteach ar ghléas shealbhóir an chuntais cheana féin.
Oireann trí mhíniú don líne logála céanna. D’úsáid duine focal faire goidte, agus rinne an geata go díreach an rud a tógadh é lena dhéanamh. Logáil ríomhaire glúine a cuireadh isteach air níos luaithe isteach mar is gnách. Sholáthair seirbhís nocht neamhghaolmhar an fíor-iontráil, agus is gníomh níos déanaí agus ar leithligh ón aisteoir céanna é an seisiún VPN.
Tuarthaíonn gach míniú fianaise dhifriúil in áiteanna eile sa timpeallacht, agus dá bhrí sin caithfidh an t-imscrúdú breathnú ar na tuarthaí sin seachas ar dhearbhú an chéad mhínithe a oireann. Tuarthaíonn focal faire goidte geografaíocht nó am fíordheimhniúcháin neamhghnách. Tuarthaíonn ríomhaire glúine a cuireadh isteach air déantáin óstaigh roimh an logáil isteach. Tuarthaíonn ionad iontrála neamhghaolmhar gníomhaíocht nach bhfuil aon bhaint aici leis an ngeata ar chor ar bith.
Coinnigh na hócáidí ar leithligh sula ndéanann tú iad a aithris
Scríobh na hócáidí síos ar leithligh sula mbeidh aon aithris ann, mar glaonn aithris ar an amlíne a shocrú timpeall ar dhuine atá faoi amhras. Ba chóir do gach líne a rá cad a shuíonn an taifead sin agus, ar leithligh, cad nach féidir leis a shuí ann féin. An nóiméad a chumtar dhá líne in aon abairt amháin, tá léiriú buaite cheana féin.
Tabhair faoi deara go mbaineann an ócáid dheireanach le brath seachas leis an ionsaitheoir. Bíonn an t-am aimsithe agus an t-am comhráite scartha go rialta le huaireanta nó seachtainí, agus cuirfidh tuarascáil a dhéanann iad a chomhionannú amú ar gach léitheoir a thagann i do dhiaidh.
Taifead cá as a dtáinig gach stampa ama, ní hamháin cad a deir sé. Is trí uimhir éagsúla iad am fála bailitheora, am ócáide agus am braite, agus is é a normalú go ciúin in aon cholún amháin an bealach a bhfaigheann amlíne cruth nach raibh ag an bhfianaise riamh.
Ná ceangail taifid ach amháin nuair a aontaíonn na haitheantóirí
Is hipitéis é taifid a chumasc, ní céim fhormáide. Caithfidh ainm an chuntais, an seoladh VPN a leithdháileadh, an t-óstach sprice agus aitheantóir an tseisiúin aontú sula n-éiríonn dhá ró ina scéal amháin. Ní leor seoladh poiblí comhroinnte, mar roinntear é de réir dearaidh.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Léigh an tábla ó bhun go barr nuair a bhíonn tú ag riandú iontrála, agus ó bharr go bun nuair a bhíonn tú ag scóipéail an tionchair, mar teastaíonn treoracha contrártha ón dá cheist. Nuair a aontaíonn na haitheantóirí i ndáiríre, abair é agus luaigh an dá thaifead. Nuair nach n-aontaíonn, fág an bhearna le feiceáil seachas í a dhúnadh le toimhde.
Seo freisin a chuireann ainm úsáideora eolach amú. Is féidir an cuntas céanna a úsáid ag an sealbhóir dlisteanach ar maidin agus ag duine éigin eile san oíche, agus ní féidir le hainm an chuntais amháin iad a idirdhealú. Cuir an cuntas i leith, ansin cuir an duine i leith ar leithligh, agus gan ach nuair a thacaíonn rud éigin leis. Rinne formhór na n-amlinte a thiteann as a chéile san athbhreithniú an chéim seo róthapa.
Is bearna iad na logaí atá ar iarraidh, ní fianaise dhiúltach
Ní chruthaíonn easpa ócáidí focal faire teipthe go raibh an logáil isteach rathúil dlisteanach. Táirgeann dintiúir ghoidte bhailí taifead fíordheimhniúcháin rathúil agus ní tháirgeann siad aon teip ar chor ar bith, agus sin go díreach a dhéanann goid dintiúr tarraingteach.
Ar an gcuma chéanna, deir port atá dúnta inniu rud éigin faoi inniu. Ní deir sé aon rud faoi ar nochtadh an tseirbhís sin an uair sin, ar bhí sí leochaileach an uair sin, nó ar iompair sí an t-ionsaí. Is é cumraíocht stairiúil agus fianaise na seirbhíse an t-aon bhealach chun an bhearna sin a dhúnadh.
Luaigh an bhearna go sainráite sa tuarascáil. «Níl aon taifid againn don eatramh sin» abairt inchosanta; «níor tharla aon rud eile» ní hea, agus luafar ar ais chugat í. Tá úinéirí ag bearnaí freisin: ainmnigh an córas a mbeadh an taifead le táirgeadh aige agus cén fáth nár tháirg. Casann an líne sin faomhadh isteach ina mhír leasúcháin.
Scríobh na fionnachtana ag an leibhéal a thacaíonn an fhianaise leis
Comhordaigh caomhnú, srianadh agus aisghabháil trí úinéir an eachtra seachas timpeall air. Leagann treoir theicniúil CISA béim ar dhéantáin agus logaí ábhartha a bhailiú sula n-athraíonn leasúchán an méid atá ar fáil fós, agus tá an t-ord sin níos tábhachtaí ná aon uirlis amháin.
Ní fiú an riosca breise a bhaineann le hathrith ionsaí amhrasta a rith arís ar threalamh beo chun an bhearna a dhúnadh. Ní fianaise é tástáil a thaispeánann go bhféadfadh ionsaí oibriú go n-oibrigh sé, agus is é an difríocht idir an dá ráiteas sin disciplín iomlán an chleachtaidh.
Críochnaigh le ceithre liosta: cad a breathnaíodh, cad iad na gaolmhaireachtaí a thacaíonn na taifid leo, cad a fhanann ina hipitéis agus cad iad na taifid nach bhfuil ar fáil. Baineann «Úsáideadh cuntas VPN le linn na heachtra» leis an dara liosta nuair a thacaíonn na taifid leis. Ní bhaineann «Ba é an VPN ba chúis leis an ransomware» le haon áit go dtí go suíonn rud éigin cúisíocht.