התחברות ל-VPN ואחריה כופרה: מה הראיות תומכות בו
התחברות בשעה 02:14 וקבצים מוצפנים בשעה 03:02 הם רצף שכדאי לחקור, לא נקודת כניסה. החזיקו בנפרד ראיות אימות, הפעלה ומארח.
כל מה שלהלן משתמש ברשומה היפותטית, שהורכבה כדי להראות צורה ולא כדי לתאר מקרה אמיתי. היא נקראת כמו שרשרת: אימות בשער בשעה 02:14, הפעלת שולחן עבודה בשעה 02:19, שינוי חשבון בעל הרשאות בשעה 02:41 וקבצים מוצפנים שנמצאו בשעה 03:02. השורה הראשונה נראית כמו התשובה, והדוח נכתב לעתים קרובות כאילו היא אכן התשובה. התחברות היא אירוע שהשער רשם, לא ממצא על איך מישהו נכנס, וההבדל הזה קובע מה תעשו בהמשך.
התסמין: התחברות שנראית כמו התשובה
רשומות אימות הן הראיות הקלות ביותר להשגה והקלות ביותר לפרשנות יתר. הן מראות שהשירות קיבל אישור גישה בזמן מסוים, מכתובת מסוימת, עבור חשבון מסוים. הן אינן מראות מי שלט באישור הגישה, אם השער נוצל לרעה, או אם המכשיר של בעל החשבון כבר נפרץ.
שלושה הסברים מתאימים לאותה שורת התחברות. מישהו השתמש בסיסמה גנובה, והשער עשה בדיוק את מה שהוא נבנה לעשות. מחשב נייד שנפרץ קודם לכן פשוט התחבר כרגיל. שירות חשוף לא קשור סיפק את הכניסה האמיתית, והפעלת ה-VPN היא פעולה מאוחרת ונפרדת של אותו גורם.
כל הסבר חוזה ראיות אחרות במקום אחר בסביבה, ולכן החקירה חייבת לחפש את התחזיות האלה ולא אישור של ההסבר הראשון שמתאים. סיסמה גנובה חוזה גאוגרפיה או עיתוי אימות חריגים. מחשב נייד שנפרץ חוזה ממצאי מארח לפני ההתחברות. נקודת כניסה לא קשורה חוזה פעילות שאין לה שום קשר לשער.
הפרידו את האירועים לפני שאתם מספרים אותם
רשמו את האירועים בנפרד לפני שקיים נרטיב, כי נרטיב מזמין לסדר את ציר הזמן סביב חשוד. כל שורה צריכה לומר מה הרשומה הזו קובעת, ובנפרד, מה היא לבדה אינה יכולה לקבוע. ברגע ששתי שורות מתמזגות למשפט אחד, פרשנות כבר ניצחה.
שימו לב שהאירוע האחרון עוסק בגילוי ולא בתוקף. זמן הגילוי וזמן הפריצה מרוחקים בדרך כלל בשעות או בשבועות, ודוח שמשווה ביניהם יטעה כל קורא שיבוא אחריכם.
רשמו מהיכן הגיע כל חתימת זמן, ולא רק מה היא אומרת. זמן קבלה של אוסף, זמן אירוע וזמן גילוי הם שלושה מספרים שונים, ואיפוס שקט שלהם לעמודה אחת הוא הדרך שבה ציר זמן מקבל צורה שלא הייתה לראיות מעולם.
חברו רשומות רק במקום שבו המזהים תואמים
מיזוג רשומות הוא השערה, לא שלב עיצוב. שם החשבון, כתובת ה-VPN שהוקצתה, המארח היעד ומזהה ההפעלה חייבים להתאים לפני ששתי שורות הופכות לסיפור אחד. כתובת ציבורית משותפת אינה מספיקה, כי היא משותפת מלכתחילה.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
קראו את הטבלה מלמטה למעלה כשאתם עוקבים אחרי כניסה, ומלמעלה למטה כשאתם מתיחים את גבולות ההשפעה, כי שתי השאלות דורשות כיוונים מנוגדים. במקום שבו המזהים אכן תואמים, אמרו זאת וצטטו את שתי הרשומות. במקום שבו הם אינם תואמים, השאירו את הפער גלוי במקום לסגור אותו בהנחה.
כאן גם שם משתמש מוכר מטעה. אותו חשבון יכול לשמש את הבעלים החוקי בבוקר ואדם אחר בלילה, ושם החשבון לבדו אינו יכול להבחין ביניהם. ייחסו את החשבון, ואז ייחסו את האדם בנפרד, ורק כשמשהו תומך בכך. רוב צירי הזמן שמתפרקים בסקירה עשו בדיוק את הצעד הזה מהר מדי.
יומנים חסרים הם פער, לא הוכחה שלילית
היעדר אירועי סיסמה כושלים אינו מוכיח שההתחברות המוצלחת הייתה חוקית. אישורי גישה גנובים תקפים מייצרים רשומת אימות מוצלחת ובלי כשלים כלל, וזה בדיוק מה שהופך את גניבת אישורי הגישה לאטרקטיבית.
באופן דומה, פורט שסגור היום אומר משהו על היום. הוא אינו אומר דבר על האם השירות הזה היה חשוף אז, האם היה פגיע אז, או האם נשא את המתקפה. תצורה היסטורית וראיות מהשירות הן הדרך היחידה לסגור את הפער הזה.
ציינו את הפער במפורש בדוח. ״אין לנו רשומות לאותו פרק זמן״ הוא משפט שניתן להגן עליו; ״שום דבר אחר לא קרה״ אינו כזה, והוא יצוטט בחזרה כלפיכם. לפערים יש גם בעלים: ציינו את המערכת שהייתה אמורה להפיק את הרשומה ולמה לא עשתה זאת. השורה הזו הופכת השמטה לפריט תיקון.
כתבו ממצאים ברמה שהראיות תומכות בה
תאמו שימור, בלימה ושחזור דרך אחראי האירוע ולא סביבו. ההנחיה הטכנית של CISA מדגישה איסוף ממצאים ויומנים רלוונטיים לפני שהתיקון משנה את מה שנשאר זמין, וסדר זה חשוב יותר מכל כלי בודד.
הרצה חוזרת של ניצול חשוד מול ציוד חי כדי לסגור את הפער אינה שווה את הסיכון שהיא מוסיפה. בדיקה שמראה שמתקפה יכלה לעבוד אינה ראיה שהיא עבדה, וההבדל בין שתי הקביעות האלה הוא כל המשמעת של התרגיל.
סיימו בארבע רשימות: מה נצפה, אילו קשרים הרשומות תומכות בהם, מה נשאר השערה ואילו רשומות אינן זמינות. ״נעשה שימוש בחשבון VPN במהלך האירוע״ שייך לרשימה השנייה כשהרשומות תומכות בכך. ״ה-VPN גרם לכופרה״ אינו שייך לשום מקום עד שמשהו קובע סיבתיות.