Login VPN lalu ransomware: apa yang didukung bukti

Semua di bawah ini memakai catatan hipotetis, yang disusun untuk menunjukkan bentuk dan bukan untuk menggambarkan kasus nyata. Catatan itu terbaca seperti rantai: autentikasi gateway pukul 02:14, sesi desktop pukul 02:19, perubahan akun istimewa pukul 02:41, dan berkas terenkripsi yang ditemukan pukul 03:02. Baris pertama tampak seperti jawabannya, dan laporan sering ditulis seolah-olah memang begitu. Login adalah peristiwa yang dicatat gateway, bukan temuan tentang bagaimana seseorang masuk, dan perbedaan itulah yang menentukan apa yang Anda lakukan berikutnya.

Gejalanya: login yang tampak seperti jawaban

Catatan autentikasi adalah bukti yang paling mudah diperoleh dan paling mudah ditafsirkan berlebihan. Catatan itu menunjukkan bahwa layanan menerima kredensial pada suatu waktu, dari suatu alamat, untuk suatu akun. Catatan itu tidak menunjukkan siapa yang mengendalikan kredensial, apakah gateway dieksploitasi, atau apakah perangkat pemilik akun sudah disusupi.

Tiga penjelasan cocok dengan baris login yang sama. Seseorang memakai kata sandi curian, dan gateway melakukan tepat apa yang dirancang untuk dilakukannya. Laptop yang sudah disusupi sebelumnya hanya masuk seperti biasa. Layanan terbuka yang tidak terkait menyediakan pintu masuk sebenarnya, dan sesi VPN adalah tindakan belakangan yang terpisah oleh pelaku yang sama.

Setiap penjelasan memprediksi bukti berbeda di tempat lain dalam lingkungan, karena itu penyelidikan harus mencari prediksi tersebut, bukan konfirmasi atas penjelasan pertama yang cocok. Kata sandi curian memprediksi geografi atau waktu autentikasi yang tidak biasa. Laptop yang disusupi memprediksi artefak host sebelum login. Titik masuk yang tidak terkait memprediksi aktivitas yang sama sekali tidak berhubungan dengan gateway.

Pisahkan peristiwa sebelum Anda menuturkannya

Tuliskan peristiwa secara terpisah sebelum ada narasi apa pun, karena narasi mengundang garis waktu disusun mengelilingi seorang tersangka. Setiap baris harus menyebutkan apa yang dibuktikan catatan itu dan, secara terpisah, apa yang tidak dapat dibuktikannya sendiri. Begitu dua baris digabung menjadi satu kalimat, sebuah tafsiran sudah menang.

Perhatikan bahwa peristiwa terakhir berkaitan dengan deteksi, bukan dengan penyerang. Waktu penemuan dan waktu kompromi biasanya terpisah berjam-jam atau berminggu-minggu, dan laporan yang menyamakan keduanya akan menyesatkan setiap pembaca yang datang setelah Anda.

Catat dari mana setiap cap waktu berasal, bukan hanya apa yang dikatakannya. Waktu penerimaan kolektor, waktu peristiwa, dan waktu deteksi adalah tiga angka berbeda, dan menormalkannya diam-diam ke dalam satu kolom adalah cara garis waktu memperoleh bentuk yang tidak pernah dimiliki bukti.

Gabungkan catatan hanya di tempat pengenal cocok

Menggabungkan catatan adalah hipotesis, bukan langkah pemformatan. Nama akun, alamat VPN yang diberikan, host tujuan, dan pengenal sesi harus cocok sebelum dua baris menjadi satu cerita. Alamat publik bersama tidak cukup, karena memang dibagi sejak desain.

Baca tabel dari bawah ke atas saat Anda melacak pintu masuk, dan dari atas ke bawah saat Anda menentukan cakupan dampak, karena kedua pertanyaan membutuhkan arah yang berlawanan. Di tempat pengenal benar-benar cocok, katakan demikian dan rujuk kedua catatan. Di tempat tidak cocok, biarkan celahnya terlihat alih-alih menutupnya dengan asumsi.

Di sinilah nama pengguna yang familier juga menyesatkan. Akun yang sama dapat dipakai pemilik sah pada pagi hari dan orang lain pada malam hari, dan nama akun saja tidak dapat membedakan keduanya. Atribusikan akun, lalu atribusikan orangnya secara terpisah, dan hanya bila ada sesuatu yang mendukungnya. Sebagian besar garis waktu yang runtuh dalam peninjauan melakukan langkah ini terlalu cepat.

Log yang hilang adalah celah, bukan bukti negatif

Tidak adanya peristiwa kata sandi gagal tidak membuktikan bahwa login yang berhasil itu sah. Kredensial curian yang valid menghasilkan catatan autentikasi yang berhasil dan tidak ada kegagalan sama sekali, dan itulah yang membuat pencurian kredensial menarik.

Demikian pula, port yang tertutup hari ini mengatakan sesuatu tentang hari ini. Itu tidak mengatakan apa pun tentang apakah layanan tersebut terbuka saat itu, apakah rentan saat itu, atau apakah membawa serangan. Konfigurasi historis dan bukti layanan adalah satu-satunya cara menutup celah itu.

Nyatakan celah itu secara eksplisit dalam laporan. «Kami tidak punya catatan untuk interval itu» adalah kalimat yang dapat dipertahankan; «tidak ada hal lain yang terjadi» bukan, dan itu akan dikutip balik kepada Anda. Celah juga punya pemilik: sebutkan sistem yang seharusnya menghasilkan catatan itu dan mengapa tidak. Baris itu mengubah kelalaian menjadi butir perbaikan.

Tulis temuan pada tingkat yang didukung bukti

Koordinasikan pelestarian, penahanan, dan pemulihan melalui pemilik insiden, bukan di sekitarnya. Panduan teknis CISA menekankan pengumpulan artefak dan log yang relevan sebelum perbaikan mengubah apa yang masih tersedia, dan urutan itu lebih penting daripada alat tunggal mana pun.

Menjalankan ulang eksploit yang dicurigai pada peralatan hidup untuk menutup celah tidak sepadan dengan risiko yang ditambahkannya. Uji yang menunjukkan bahwa serangan bisa berhasil bukan bukti bahwa serangan berhasil, dan perbedaan antara kedua pernyataan itu adalah seluruh disiplin latihan ini.

Akhiri dengan empat daftar: apa yang diamati, hubungan apa yang didukung catatan, apa yang tetap hipotesis, dan catatan apa yang tidak tersedia. «Akun VPN dipakai selama insiden» masuk daftar kedua bila catatan mendukungnya. «VPN menyebabkan ransomware» tidak masuk ke mana pun sampai sesuatu menetapkan kausalitas.