VPN-innskráning og svo lausnarhugbúnaður: hvað sannanir styðja
Innskráning klukkan 02:14 og dulkóðuð skrár klukkan 03:02 er röð sem er þess virði að rannsaka, ekki inngangsstaður. Haldið sönnunum um auðkenningu, lotu og hýsil aðskildum.
Allt hér að neðan notar tilgátufærslu, samansetta til að sýna lögun en ekki til að lýsa raunverulegu máli. Hún er lesin sem keðja: auðkenning á gátt klukkan 02:14, skrifborðslota klukkan 02:19, breyting á forréttindareikningi klukkan 02:41 og dulkóðuð skrár sem fundust klukkan 03:02. Fyrsta línan lítur út eins og svarið, og skýrslan er oft skrifuð eins og hún sé það. Innskráning er atburður sem gátt skráði, ekki niðurstaða um hvernig einhver kom inn, og sá munur ræður því hvað þú gerir næst.
Einkennið: innskráning sem lítur út eins og svarið
Auðkenningarfærslur eru auðveldustu sannanirnar að afla og auðveldastar að oftúlka. Þær sýna að þjónustan tók við skírteini á tilteknum tíma, frá tilteknu vistfangi, fyrir tiltekinn reikning. Þær sýna ekki hver stjórnaði skírteininu, hvort gáttin var misnotuð eða hvort tæki reikningshafa var þegar spillt.
Þrjár skýringar passa við sömu innskráningarlínuna. Einhver notaði stolið lykilorð og gáttin gerði nákvæmlega það sem hún er byggð til. Fartölva sem var spillt fyrr skráði sig einfaldlega inn eins og venjulega. Ótengd opnuð þjónusta veitti raunverulegu inngönguna og VPN-lotan er síðari, aðskilin aðgerð sama aðilans.
Hver skýring spáir fyrir um aðrar sannanir annars staðar í umhverfinu, þess vegna verður rannsóknin að leita að þeim spám en ekki staðfestingu á þeirri fyrstu sem passar. Stolið lykilorð spáir fyrir um óvenjulega auðkenningalandfræði eða tímasetningu. Spillt fartölva spáir fyrir um hýsilgrip fyrir innskráningu. Ótengdur inngangsstaður spáir fyrir um virkni sem hefur alls ekkert með gáttina að gera.
Haldið atburðunum aðskildum áður en þið segið frá þeim
Skrifið atburðina niður aðskilda áður en nokkur frásögn er til, því frásögn býður að tímalínan sé raðað í kringum grunaðan. Hver lína á að segja hvað sú færsla sannar og, aðskilið, hvað hún getur ekki sannað eitt og sér. Á þeirri stundu sem tvær línur renna saman í eina setningu hefur túlkun þegar sigrað.
Takið eftir að síðasti atburðurinn snýst um greiningu en ekki árásarmanninn. Uppgötvunartími og spillitími eru venjulega klukkustundum eða vikum hvor frá öðrum, og skýrsla sem jafnar þeim mun blekkja hvern þann lesanda sem kemur á eftir ykkur.
Skráið hvaðan hvert tímamerki kemur, ekki aðeins hvað það segir. Móttökutími safnara, atburðartími og uppgötvunartími eru þrjár mismunandi tölur, og að normalisera þær hljóðlaust í einn dálk er leiðin sem tímalína fær lögun sem sannanirnar höfðu aldrei.
Tengið færslur aðeins þar sem auðkenni stemma
Að sameina færslur er tilgáta, ekki sniðskref. Heiti reikningsins, úthlutað VPN-vistfang, hýsillinn sem er skotmark og auðkenni lotunnar verða að stemma áður en tvær raðir verða ein saga. Sameiginlegt opinbert vistfang er ekki nóg, því það er sameiginlegt að hönnun.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
Lesið töfluna neðan frá og upp þegar þið rekja inngöngu, og ofan frá og niður þegar þið afmarkið áhrifin, því spurningarnar tvær þurfa gagnstæðar áttir. Þar sem auðkennin stemma í raun, segið það og vitnið í báðar færslur. Þar sem þau stemma ekki, látið bilið sjást í stað þess að loka því með forsendu.
Hér blekkir líka kunnugt notandanafn. Sami reikningur getur verið notaður af lögmæta handhafanum á morgnana og af einhverjum öðrum á nóttunni, og nafnið eitt getur ekki greint þá. Eignið reikningnum, eignið svo manneskjunni aðskilið, og aðeins þegar eitthvað styður það. Flestar tímalínur sem hrynja í yfirferð tóku einmitt þetta skref of hratt.
Vantar annála er bil, ekki neikvæð sönnun
Fjarvist misheppnaðra lykilorðaatburða sannar ekki að árangursríka innskráningin hafi verið lögmæt. Gild stolin skírteini framleiða árangursríka auðkenningarfærslu og engar mistök, og einmitt það gerir skírteinastuld aðlaðandi.
Á sama hátt segir gátt sem er lokuð í dag eitthvað um daginn í dag. Hún segir ekkert um hvort sú þjónusta hafi verið opin þá, hvort hún hafi verið veik þá eða hvort hún hafi borið árásina. Söguleg uppsetning og sannanir þjónustunnar eru eina leiðin til að loka því bili.
Tilgreinið bilið skýrt í skýrslunni. „Við höfum engar færslur fyrir það tímabil“ er verjanleg setning; „ekkert annað gerðist“ er það ekki, og hún verður vitnuð til baka á ykkur. Bilin eiga sér líka eigendur: nefnið kerfið sem átti að framleiða færsluna og hvers vegna það gerði það ekki. Sú lína breytir vanrækslu í úrbótalið.
Skrifið niðurstöður á því stigi sem sannanirnar styðja
Samræmið varðveislu, aðhald og endurheimt gegnum eiganda atviksins en ekki framhjá honum. Tæknileiðbeining CISA leggur áherslu á að safna viðeigandi gripum og annálum áður en úrbætur breyta því sem enn er tiltækt, og sú röð skiptir meira máli en nokkurt eitt tól.
Að keyra grunaða nýtingu aftur á lifandi búnaði til að loka bilinu er ekki þess virði sem áhættan bætir við. Prófun sem sýnir að árás hefði getað virkað er ekki sönnun þess að hún hafi virkað, og munurinn á þessum tveimur fullyrðingum er öll agi æfingarinnar.
Endið með fjórum listum: hvað var séð, hvaða tengsl færslurnar styðja, hvað er áfram tilgáta og hvaða færslur eru ekki tiltækar. „VPN-reikningur var notaður meðan á atvikinu stóð“ á heima á öðrum listanum þegar færslurnar styðja það. „VPN olli lausnarhugbúnaðinum“ á hvergi heima fyrr en eitthvað sannar orsakasamband.