VPN մուտք և հետո ransomware՝ ինչ են հաստատում ապացույցները
02:14-ին մուտքը և 03:02-ին գաղտնագրված ֆայլերը հետաքննության արժանի հաջորդականություն է, ոչ թե մուտքի կետ։ Առանձին պահեք նույնականացման, սեսիայի և հոսթի ապացույցները։
Ստորև ամեն ինչ օգտագործում է հիպոթետիկ գրառում, որը հավաքվել է ձև ցույց տալու, այլ ոչ թե իրական դեպք նկարագրելու համար։ Այն կարդացվում է որպես շղթա՝ դարպասի նույնականացում 02:14-ին, աշխատասեղանի սեսիա 02:19-ին, արտոնյալ հաշվի փոփոխություն 02:41-ին և գաղտնագրված ֆայլեր, որոնք գտնվել են 03:02-ին։ Առաջին տողը թվում է պատասխանը, և զեկույցը հաճախ գրվում է այնպես, կարծես այն հենց այդպես է։ Մուտքը դարպասի գրանցած իրադարձություն է, ոչ թե եզրակացություն այն մասին, թե ինչպես է ինչ-որ մեկը ներս մտել, և այդ տարբերությունը որոշում է, թե ինչ կանեք հետո։
Ախտանիշը՝ մուտք, որը թվում է պատասխան
Նույնականացման գրառումները ամենահեշտ ձեռք բերվող ապացույցներն են և ամենահեշտ չափից ավելի մեկնաբանվողները։ Դրանք ցույց են տալիս, որ ծառայությունը որոշակի պահին, որոշակի հասցեից, որոշակի հաշվի համար ընդունել է նույնականացման տվյալ։ Դրանք չեն ցույց տալիս, թե ով է վերահսկել այդ տվյալը, արդյոք դարպասը շահագործվել է, թե արդյոք հաշվի տիրոջ սարքն արդեն վարակված էր։
Երեք բացատրություն համապատասխանում է նույն մուտքի տողին։ Ինչ-որ մեկը օգտագործել է գողացված գաղտնաբառ, և դարպասը արել է հենց այն, ինչի համար կառուցված է։ Ավելի վաղ վարակված նոութբուքը պարզապես մուտք է գործել սովորականի պես։ Չկապված բաց ծառայությունն ապահովել է իրական մուտքը, և VPN սեսիան նույն գործչի ավելի ուշ, առանձին գործողությունն է։
Յուրաքանչյուր բացատրություն կանխատեսում է տարբեր ապացույցներ միջավայրի այլ մասերում, դրա համար հետաքննությունը պետք է փնտրի այդ կանխատեսումները, այլ ոչ թե առաջին համապատասխան բացատրության հաստատումը։ Գողացված գաղտնաբառը կանխատեսում է անսովոր նույնականացման աշխարհագրություն կամ ժամանակ։ Վարակված նոութբուքը կանխատեսում է հոսթի արտեֆակտներ մինչև մուտքը։ Չկապված մուտքի կետը կանխատեսում է գործունեություն, որն ընդհանրապես կապ չունի դարպասի հետ։
Առանձնացրեք իրադարձությունները, նախքան դրանք պատմելը
Գրեք իրադարձությունները առանձին, նախքան որևէ պատում կգոյություն ունենա, որովհետև պատումը հրավիրում է ժամանակագրությունը դասավորել կասկածյալի շուրջ։ Յուրաքանչյուր տող պետք է ասի, թե ինչ է հաստատում այդ գրառումը և առանձին՝ ինչ չի կարող հաստատել միայնակ։ Այն պահին, երբ երկու տող միաձուլվում են մեկ նախադասության մեջ, մեկնաբանությունն արդեն հաղթել է։
Ուշադրություն դարձրեք, որ վերջին իրադարձությունը հայտնաբերման մասին է, ոչ թե հարձակվողի։ Հայտնաբերման ժամանակը և վարակվելու ժամանակը սովորաբար ժամերով կամ շաբաթներով տարբերվում են, և զեկույցը, որը դրանք հավասարեցնում է, կմոլորեցնի ձեզնից հետո եկող յուրաքանչյուր ընթերցողի։
Գրանցեք, թե որտեղից է եկել յուրաքանչյուր ժամանակադրոշմը, ոչ միայն այն, թե ինչ է ասում։ Հավաքիչի ստացման ժամանակը, իրադարձության ժամանակը և հայտնաբերման ժամանակը երեք տարբեր թվեր են, և դրանք լուռ մեկ սյունակում նորմալացնելը հենց այն է, թե ինչպես է ժամանակագրությունը ստանում մի ձև, որը ապացույցները երբեք չեն ունեցել։
Միավորեք գրառումները միայն այնտեղ, որտեղ նույնացուցիչները համընկնում են
Գրառումների միավորումը վարկած է, ոչ թե ձևաչափման քայլ։ Հաշվի անունը, հատկացված VPN հասցեն, թիրախ հոսթը և սեսիայի նույնացուցիչը պետք է համընկնեն, նախքան երկու տողերը կդառնան մեկ պատմություն։ Համօգտագործվող հանրային հասցեն բավարար չէ, որովհետև այն համօգտագործվում է ըստ նախագծի։
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Կարդացեք աղյուսակը ներքևից վերև, երբ հետևում եք մուտքին, և վերևից ներքև, երբ սահմանում եք ազդեցության ծավալը, որովհետև երկու հարցերը հակառակ ուղղություններ են պահանջում։ Այնտեղ, որտեղ նույնացուցիչներն իսկապես համընկնում են, ասեք դա և հղում արեք երկու գրառումներին։ Այնտեղ, որտեղ չեն համընկնում, թողեք բացը տեսանելի, փոխարենը այն ենթադրությամբ փակելու։
Այստեղ է, որ ծանոթ օգտանունը նույնպես մոլորեցնում է։ Նույն հաշիվը կարող է առավոտյան օգտագործել օրինական տերը, իսկ գիշերը՝ մեկ ուրիշը, և միայն հաշվի անունը չի կարող տարբերել նրանց։ Վերագրեք հաշիվը, ապա առանձին վերագրեք անձին, և միայն այն դեպքում, երբ ինչ-որ բան դա հաստատում է։ Վերանայման ժամանակ քանդվող ժամանակագրությունների մեծ մասը հենց այս քայլն արել է չափազանց արագ։
Բացակայող մատյանները բացթողում են, ոչ թե բացասական ապացույց
Անհաջող գաղտնաբառերի իրադարձությունների բացակայությունը չի ապացուցում, որ հաջող մուտքը օրինական էր։ Վավեր գողացված նույնականացման տվյալները ստեղծում են հաջող նույնականացման գրառում և ընդհանրապես ձախողումներ չեն ստեղծում, և հենց դա է նույնականացման տվյալների գողությունը գրավիչ դարձնում։
Նույն կերպ, այսօր փակ նավահանգիստը ինչ-որ բան ասում է այսօրվա մասին։ Այն ոչինչ չի ասում այն մասին, թե արդյոք այդ ծառայությունը բաց էր այն ժամանակ, արդյոք այն խոցելի էր այն ժամանակ, կամ արդյոք այն կրել է հարձակումը։ Պատմական կազմաձևումը և ծառայության ապացույցները միակ միջոցն են այդ բացը փակելու։
Նշեք բացը հստակ զեկույցում։ «Այդ միջակայքի համար գրառումներ չունենք» պաշտպանելի նախադասություն է. «ուրիշ ոչինչ չի պատահել» այդպիսին չէ, և այն ձեզ հետ կմեջբերեն։ Բացթողումներն ունեն նաև տերեր. նշեք այն համակարգը, որը պետք է արտադրեր գրառումը, և ինչու չի արել։ Այդ տողը բացթողումը վերածում է ուղղման կետի։
Գրեք եզրակացությունները այն մակարդակով, որն ապացույցները հաստատում են
Համակարգեք պահպանումը, սահմանափակումը և վերականգնումը միջադեպի պատասխանատուի միջոցով, ոչ թե շրջանցելով նրան։ CISA-ի տեխնիկական ուղեցույցը ընդգծում է համապատասխան արտեֆակտների և մատյանների հավաքումը նախքան վերականգնումը կփոխի այն, ինչ մնում է հասանելի, և այդ հերթականությունը կարևոր է ցանկացած մեկ գործիքից։
Կասկածելի շահագործման վերագործարկումը կենդանի սարքավորումների վրա՝ բացը փակելու համար, չի արժե ավելացված ռիսկը։ Թեստը, որը ցույց է տալիս, որ հարձակումը կարող էր աշխատել, ապացույց չէ, որ այն աշխատել է, և այդ երկու պնդումների տարբերությունը այս վարժության ողջ կարգապահությունն է։
Ավարտեք չորս ցանկերով. ինչ է դիտարկվել, ինչ հարաբերություններ են հաստատում գրառումները, ինչ է մնում վարկած, և որ գրառումներն անհասանելի են։ «Միջադեպի ընթացքում օգտագործվել է VPN հաշիվ» պատկանում է երկրորդ ցանկին, երբ գրառումները դա հաստատում են։ «VPN-ն առաջացրել է ransomware-ը» ոչ մի տեղ չի պատկանում, քանի դեռ ինչ-որ բան չհաստատի պատճառականությունը։