VPN લોગિન અને પછી રેન્સમવેર: પુરાવા શું સમર્થન આપે છે
02:14 પર લોગિન અને 03:02 પર એન્ક્રિપ્ટ થયેલી ફાઇલો — આ તપાસને પાત્ર ક્રમ છે, પ્રવેશબિંદુ નહીં. પ્રમાણીકરણ, સત્ર અને હોસ્ટના પુરાવા અલગ રાખો.
નીચેનું બધું એક કાલ્પનિક રેકોર્ડનો ઉપયોગ કરે છે, જે વાસ્તવિક કેસ વર્ણવવાને બદલે આકાર દર્શાવવા માટે ગોઠવાયેલો છે. તે સાંકળ જેવું વંચાય છે: 02:14 પર ગેટવે પ્રમાણીકરણ, 02:19 પર ડેસ્કટોપ સત્ર, 02:41 પર વિશેષાધિકાર પ્રાપ્ત ખાતાનો ફેરફાર, અને 03:02 પર મળેલી એન્ક્રિપ્ટ ફાઇલો. પહેલી લાઇન જવાબ જેવી લાગે છે, અને અહેવાલ ઘણી વાર એવો લખાય છે જાણે તે જ જવાબ હોય. લોગિન એ ગેટવેએ નોંધેલી ઘટના છે, કોઈ કેવી રીતે અંદર આવ્યું તે અંગેનું તારણ નહીં, અને એ જ ફરક નક્કી કરે છે કે તમે આગળ શું કરશો.
લક્ષણ: જવાબ જેવું લાગતું લોગિન
પ્રમાણીકરણના રેકોર્ડ મેળવવા સૌથી સહેલા પુરાવા છે અને વધુ પડતું અર્થઘટન કરવા સૌથી સહેલા છે. તેઓ દર્શાવે છે કે સેવાએ કોઈ સમયે, કોઈ સરનામેથી, કોઈ ખાતા માટે ઓળખપત્ર સ્વીકાર્યું. તેઓ દર્શાવતા નથી કે ઓળખપત્ર કોણ નિયંત્રિત કરતું હતું, ગેટવેનો દુરુપયોગ થયો હતો કે નહીં, અથવા ખાતાધારકનું ઉપકરણ પહેલેથી સમાધાન પામ્યું હતું કે નહીં.
ત્રણ સમજૂતીઓ એ જ લોગિન લાઇનમાં બંધ બેસે છે. કોઈએ ચોરાયેલો પાસવર્ડ વાપર્યો, અને ગેટવેએ બરાબર એ જ કર્યું જે માટે તે બનાવાયું હતું. પહેલાં સમાધાન પામેલો લેપટોપ સામાન્ય રીતે જ લોગિન થયો. અસંબંધિત ખુલ્લી સેવાએ સાચો પ્રવેશ આપ્યો, અને VPN સત્ર એ જ અભિનેતાની પછીની, અલગ ક્રિયા છે.
દરેક સમજૂતી પર્યાવરણમાં બીજે ક્યાંક અલગ પુરાવાની આગાહી કરે છે, તેથી તપાસે એ આગાહીઓ શોધવી જોઈએ, પ્રથમ બંધ બેસતી સમજૂતીની પુષ્ટિ નહીં. ચોરાયેલો પાસવર્ડ અસામાન્ય પ્રમાણીકરણ ભૂગોળ કે સમયની આગાહી કરે છે. સમાધાન પામેલો લેપટોપ લોગિન પહેલાં હોસ્ટના અવશેષોની આગાહી કરે છે. અસંબંધિત પ્રવેશબિંદુ ગેટવે સાથે કોઈ સંબંધ ન હોય એવી પ્રવૃત્તિની આગાહી કરે છે.
ઘટનાઓને વર્ણવતા પહેલાં અલગ રાખો
કોઈ પણ વર્ણન અસ્તિત્વમાં આવે તે પહેલાં ઘટનાઓ અલગ લખો, કારણ કે વર્ણન સમયરેખાને શંકાસ્પદ વ્યક્તિની આસપાસ ગોઠવવાનું આમંત્રણ આપે છે. દરેક લાઇને કહેવું જોઈએ કે તે રેકોર્ડ શું સ્થાપિત કરે છે અને અલગ રીતે, એકલા શું સ્થાપિત કરી શકતો નથી. જે ક્ષણે બે લાઇન એક વાક્યમાં ભળી જાય છે, ત્યારે એક અર્થઘટન પહેલેથી જ જીતી ગયું છે.
ધ્યાન આપો કે છેલ્લી ઘટના હુમલાખોર વિશે નહીં, શોધ વિશે છે. શોધનો સમય અને સમાધાનનો સમય સામાન્ય રીતે કલાકો કે અઠવાડિયાંના અંતરે હોય છે, અને જે અહેવાલ તેમને સમાન ગણે છે તે તમારા પછી આવતા દરેક વાચકને ભ્રમિત કરશે.
દરેક સમયચિહ્ન ક્યાંથી આવ્યું તે નોંધો, તે શું કહે છે તે જ નહીં. સંગ્રાહકનો પ્રાપ્તિ સમય, ઘટનાનો સમય અને શોધનો સમય ત્રણ અલગ સંખ્યાઓ છે, અને તેમને શાંતિથી એક કોલમમાં સામાન્ય બનાવવું એ જ રીતે સમયરેખા એવો આકાર મેળવે છે જે પુરાવા પાસે ક્યારેય ન હતો.
રેકોર્ડ ફક્ત ત્યાં જ જોડો જ્યાં ઓળખકર્તા મળે છે
રેકોર્ડ જોડવા એ પૂર્વધારણા છે, ફોર્મેટિંગનું પગલું નહીં. ખાતાનું નામ, ફાળવેલું VPN સરનામું, લક્ષ્ય હોસ્ટ અને સત્ર ઓળખકર્તા મળવા જોઈએ તે પહેલાં બે પંક્તિઓ એક વાર્તા બને. સહિયારું જાહેર સરનામું પૂરતું નથી, કારણ કે તે ડિઝાઇનથી સહિયારું છે.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
જ્યારે પ્રવેશને ટ્રેસ કરો ત્યારે ટેબલ નીચેથી ઉપર વાંચો, અને અસરનો વ્યાપ નક્કી કરો ત્યારે ઉપરથી નીચે, કારણ કે બંને પ્રશ્નોને વિરોધી દિશાઓની જરૂર છે. જ્યાં ઓળખકર્તા ખરેખર મળે છે, ત્યાં તે કહો અને બંને રેકોર્ડ ટાંકો. જ્યાં મળતા નથી, ત્યાં ધારણાથી ગાબડું બંધ કરવાને બદલે દૃશ્યમાન રાખો.
અહીં જ પરિચિત વપરાશકર્તાનામ ભ્રમિત કરે છે. એ જ ખાતું સવારે કાયદેસર ધારક અને રાત્રે બીજું કોઈ વાપરી શકે છે, અને ફક્ત ખાતાનું નામ તેમને અલગ પાડી શકતું નથી. ખાતાને આરોપિત કરો, પછી વ્યક્તિને અલગ રીતે આરોપિત કરો, અને ફક્ત ત્યારે જ જ્યારે કંઈક તેને સમર્થન આપે. સમીક્ષામાં તૂટી પડતી મોટાભાગની સમયરેખાઓએ બરાબર આ પગલું બહુ ઝડપથી કર્યું હતું.
ગુમ થયેલા લોગ એ ગાબડું છે, નકારાત્મક પુરાવો નહીં
નિષ્ફળ પાસવર્ડની ઘટનાઓની ગેરહાજરી સાબિત કરતી નથી કે સફળ લોગિન કાયદેસર હતું. માન્ય ચોરાયેલા ઓળખપત્રો સફળ પ્રમાણીકરણ રેકોર્ડ આપે છે અને એક પણ નિષ્ફળતા નહીં, અને એ જ કારણે ઓળખપત્ર ચોરી આકર્ષક બને છે.
તે જ રીતે, આજે બંધ પોર્ટ આજ વિશે કંઈક કહે છે. તે એ વિશે કંઈ કહેતું નથી કે તે સેવા ત્યારે ખુલ્લી હતી કે નહીં, ત્યારે તે નબળી હતી કે નહીં, અથવા તેણે હુમલો વહન કર્યો હતો કે નહીં. ઐતિહાસિક રૂપરેખાંકન અને સેવાના પુરાવા જ એ ગાબડું બંધ કરવાનો એકમાત્ર રસ્તો છે.
અહેવાલમાં ગાબડું સ્પષ્ટ રીતે જણાવો. “તે અંતરાલ માટે અમારી પાસે કોઈ રેકોર્ડ નથી” એ સમર્થનીય વાક્ય છે; “બીજું કંઈ થયું નહીં” નથી, અને તે તમને ટાંકીને પાછું કહેવામાં આવશે. ગાબડાંને માલિકો પણ હોય છે: જે સિસ્ટમે રેકોર્ડ બનાવવાનો હતો તેનું નામ આપો અને કેમ ન બનાવ્યો. એ લાઇન ચૂકને સુધારણાની વસ્તુમાં ફેરવે છે.
પુરાવા જે સ્તરને સમર્થન આપે તે સ્તરે તારણો લખો
સંરક્ષણ, નિયંત્રણ અને પુનઃપ્રાપ્તિને ઘટનાના માલિક દ્વારા સંકલિત કરો, તેમને ટાળીને નહીં. CISAનું તકનીકી માર્ગદર્શન સુધારણા ઉપલબ્ધ બાકી રહેલું બદલે તે પહેલાં સંબંધિત અવશેષો અને લોગ એકત્રિત કરવા પર ભાર મૂકે છે, અને એ ક્રમ કોઈપણ એક સાધન કરતાં વધુ મહત્ત્વનો છે.
ગાબડું બંધ કરવા માટે જીવંત સાધનસામગ્રી પર શંકાસ્પદ એક્સપ્લોઇટ ફરી ચલાવવો તે ઉમેરાતા જોખમને લાયક નથી. જે પરીક્ષણ દર્શાવે છે કે હુમલો કામ કરી શક્યો હોત તે પુરાવો નથી કે તે થયો, અને એ બે વિધાનો વચ્ચેનો ફરક જ આ કવાયતનું આખું અનુશાસન છે.
ચાર યાદીઓ સાથે અંત કરો: શું અવલોકન કરવામાં આવ્યું, રેકોર્ડ કયા સંબંધોને સમર્થન આપે છે, શું પૂર્વધારણા રહે છે, અને કયા રેકોર્ડ ઉપલબ્ધ નથી. “ઘટના દરમિયાન VPN ખાતું વપરાયું હતું” બીજી યાદીમાં આવે છે જ્યારે રેકોર્ડ તેને સમર્થન આપે. “VPNએ રેન્સમવેરનું કારણ બન્યું” ક્યાંય આવતું નથી જ્યાં સુધી કંઈક કારણભાવ સ્થાપિત ન કરે.