VPN-bejelentkezés, majd zsarolóvírus: mit támasztanak alá a bizonyítékok

Az alábbiak mindegyike egy hipotetikus rekordot használ, amelyet arra állítottak össze, hogy formát mutasson, nem pedig valós eset leírására. Láncként olvasható: átjáró-hitelesítés 02:14-kor, asztali munkamenet 02:19-kor, kiemelt fiók módosítása 02:41-kor és 03:02-kor talált titkosított fájlok. Az első sor válasznak tűnik, és a jelentést gyakran úgy írják meg, mintha az lenne. A bejelentkezés olyan esemény, amelyet egy átjáró rögzített, nem következtetés arról, hogyan jutott be valaki, és ez a különbség dönti el, mit tesz a következő lépésben.

A tünet: egy bejelentkezés, amely válasznak látszik

A hitelesítési rekordok a legkönnyebben beszerezhető bizonyítékok és a legkönnyebben túlértelmezhetők. Azt mutatják, hogy a szolgáltatás elfogadott egy hitelesítő adatot egy adott időpontban, egy adott címről, egy adott fiókhoz. Nem mutatják meg, ki irányította a hitelesítő adatot, kihasználták-e az átjárót, vagy a fióktulajdonos eszköze már kompromittálódott-e.

Három magyarázat illik ugyanarra a bejelentkezési sorra. Valaki ellopott jelszót használt, és az átjáró pontosan azt tette, amire építették. Egy korábban kompromittált laptop egyszerűen bejelentkezett a szokásos módon. Egy független, nyitott szolgáltatás biztosította a valódi belépést, és a VPN-munkamenet ugyanazon szereplő későbbi, külön művelete.

Minden magyarázat más bizonyítékot jósol meg a környezet más pontjain, ezért a vizsgálatnak ezeket a jóslatokat kell keresnie, nem az első illeszkedő magyarázat megerősítését. Az ellopott jelszó szokatlan hitelesítési földrajzot vagy időzítést jósol. A kompromittált laptop gazdagép-nyomokat jósol a bejelentkezés előtt. A független belépési pont olyan tevékenységet jósol, amelynek semmi köze az átjáróhoz.

Tartsa külön az eseményeket, mielőtt elmeséli őket

Írja le az eseményeket külön-külön, mielőtt bármilyen narratíva létezne, mert a narratíva arra hív, hogy az idővonalat egy gyanúsított köré rendezzék. Minden sornak meg kell mondania, mit bizonyít az a rekord, és külön, hogy mit nem tud egyedül bizonyítani. Abban a pillanatban, amikor két sor egy mondattá olvad, egy értelmezés már győzött.

Vegye észre, hogy az utolsó esemény a felderítésről szól, nem a támadóról. A felfedezés ideje és a kompromittálódás ideje rendszeresen órákra vagy hetekre esik egymástól, és az a jelentés, amely egyenlővé teszi őket, minden utánunk jövő olvasót félrevezet.

Jegyezze fel, honnan származik minden időbélyeg, ne csak azt, hogy mit mond. Egy gyűjtő átvételi ideje, egy esemény ideje és egy felderítési idő három különböző szám, és ezek csendes egy oszlopba normalizálása az, ahogy az idővonal olyan formát kap, amilyen a bizonyítékoknak soha nem volt.

Csak ott kapcsoljon össze rekordokat, ahol az azonosítók egyeznek

A rekordok összevonása hipotézis, nem formázási lépés. A fiók nevének, a kiosztott VPN-címnek, a cél-gazdagépnek és a munkamenet-azonosítónak egyeznie kell ahhoz, hogy két sor egy történetté váljon. Egy megosztott nyilvános cím nem elég, mert az tervezésből megosztott.

Olvassa a táblázatot alulról felfelé, amikor egy belépést követ, és felülről lefelé, amikor a hatás kiterjedését határozza meg, mert a két kérdés ellentétes irányokat igényel. Ahol az azonosítók valóban egyeznek, mondja ki, és hivatkozzon mindkét rekordra. Ahol nem egyeznek, hagyja láthatóan a rést, ahelyett hogy feltevéssel zárná le.

Itt vezet félre egy ismerős felhasználónév is. Ugyanazt a fiókot használhatja a jogos tulajdonos reggel és valaki más éjjel, és a fióknév önmagában nem tudja megkülönböztetni őket. Rendelje a fiókhoz, majd külön rendelje a személyhez, és csak akkor, ha valami ezt alátámasztja. A felülvizsgálatkor széteső idővonalak többsége pontosan ezt a lépést tette meg túl gyorsan.

A hiányzó naplók rés, nem negatív bizonyíték

A sikertelen jelszavas események hiánya nem bizonyítja, hogy a sikeres bejelentkezés legitim volt. Az érvényes lopott hitelesítő adatok sikeres hitelesítési rekordot és egyáltalán semmilyen kudarcot nem eredményeznek, és éppen ez teszi vonzóvá a hitelesítő adatok ellopását.

Hasonlóképpen egy ma zárt port valamit mond a máról. Semmit nem mond arról, hogy az a szolgáltatás akkor nyitott volt-e, akkor sebezhető volt-e, vagy hogy hordozta-e a támadást. A történelmi konfiguráció és a szolgáltatás bizonyítékai az egyetlen módja ennek a résnek a lezárására.

Nevezze meg a rést kifejezetten a jelentésben. „Arra az intervallumra nincsenek rekordjaink” védhető mondat; „semmi más nem történt” nem az, és vissza fogják idézni Önnek. A réseknek tulajdonosaik is vannak: nevezze meg a rendszert, amelynek a rekordot elő kellett volna állítania, és hogy miért nem tette. Ez a sor a kihagyást javítási tétellé változtatja.

A megállapításokat azon a szinten írja meg, amelyet a bizonyítékok alátámasztanak

Az incidens tulajdonosán keresztül hangolja össze a megőrzést, az elszigetelést és a helyreállítást, nem őt megkerülve. A CISA technikai útmutatása hangsúlyozza a releváns műtermékek és naplók gyűjtését, mielőtt a helyreállítás megváltoztatja, mi marad elérhető, és ez a sorrend minden egyes eszköznél fontosabb.

Egy gyanús exploit újrafuttatása élő berendezésen a rés lezárására nem éri meg a hozzáadott kockázatot. Egy teszt, amely megmutatja, hogy egy támadás működhetett, nem bizonyíték arra, hogy működött, és a két állítás közötti különbség a gyakorlat teljes fegyelme.

Fejezze be négy listával: mit figyeltek meg, milyen kapcsolatokat támasztanak alá a rekordok, mi marad hipotézis, és mely rekordok nem elérhetők. „A incidens során VPN-fiókot használtak” a második listába tartozik, amikor a rekordok ezt alátámasztják. „A VPN okozta a zsarolóvírust” sehova nem tartozik, amíg valami meg nem állapítja az okságot.