VPN-ით შესვლა და შემდეგ გამოსასყიდი პროგრამა: რას ამტკიცებს მტკიცებულებები
02:14-ზე შესვლა და 03:02-ზე დაშიფრული ფაილები გამოსაკვლევი თანმიმდევრობაა, არა შესვლის წერტილი. ავთენტიფიკაციის, სესიისა და ჰოსტის მტკიცებულებები ცალკე შეინახეთ.
ყველაფერი ქვემოთ იყენებს ჰიპოთეტურ ჩანაწერს, რომელიც შედგენილია ფორმის საჩვენებლად და არა რეალური საქმის აღწერისთვის. ის იკითხება ჯაჭვივით: გეითვეის ავთენტიფიკაცია 02:14-ზე, სამუშაო მაგიდის სესია 02:19-ზე, პრივილეგირებული ანგარიშის ცვლილება 02:41-ზე და დაშიფრული ფაილები, რომლებიც 03:02-ზე აღმოჩნდა. პირველი ხაზი პასუხად გვეჩვენება და ანგარიში ხშირად ისე იწერება, თითქოს ასეც არის. შესვლა არის მოვლენა, რომელიც გეითვეიმ ჩაწერა და არა დასკვნა იმის შესახებ, როგორ შევიდა ვინმე, და სწორედ ეს განსხვავება განსაზღვრავს, რას გააკეთებთ შემდეგ.
სიმპტომი: შესვლა, რომელიც პასუხად გვეჩვენება
ავთენტიფიკაციის ჩანაწერები ყველაზე ადვილად მოსაპოვებელი მტკიცებულებებია და ყველაზე ადვილად გადამეტებით ინტერპრეტირებადი. ისინი აჩვენებენ, რომ სერვისმა მიიღო სერტიფიკატი გარკვეულ დროს, გარკვეული მისამართიდან, გარკვეული ანგარიშისთვის. ისინი არ აჩვენებენ, ვინ აკონტროლებდა სერტიფიკატს, იქნა თუ არა გეითვეი გამოყენებული, თუ ანგარიშის მფლობელის მოწყობილობა უკვე იყო დაზიანებული.
სამი ახსნა ერგება იმავე შესვლის ხაზს. ვიღაცამ გამოიყენა მოპარული პაროლი და გეითვეიმ გააკეთა ზუსტად ის, რისთვისაც აშენდა. ადრე დაზიანებული ლეპტოპი უბრალოდ შევიდა ჩვეულებისამებრ. დაუკავშირებელმა ღია სერვისმა მოგვცა ნამდვილი შესვლა, ხოლო VPN სესია იმავე მოქმედის გვიანდელი, ცალკე ქმედებაა.
თითოეული ახსნა გარემოში სხვაგან განსხვავებულ მტკიცებულებას წინასწარმეტყველებს, ამიტომ გამოძიებამ უნდა მოძებნოს ეს წინასწარმეტყველებები და არა პირველი შესაფერისი ახსნის დადასტურება. მოპარული პაროლი წინასწარმეტყველებს არაჩვეულებრივ ავთენტიფიკაციის გეოგრაფიას ან დროს. დაზიანებული ლეპტოპი წინასწარმეტყველებს ჰოსტის არტეფაქტებს შესვლამდე. დაუკავშირებელი შესვლის წერტილი წინასწარმეტყველებს აქტივობას, რომელსაც გეითვეისთან საერთოდ არაფერი აქვს საერთო.
გამოყავით მოვლენები სანამ მოჰყვებით
ჩაწერეთ მოვლენები ცალ-ცალკე სანამ რაიმე თხრობა არსებობს, რადგან თხრობა იწვევს დროის ხაზის ეჭვმიტანილის გარშემო დალაგებას. თითოეულმა ხაზმა უნდა თქვას, რას ამტკიცებს ეს ჩანაწერი და ცალკე, რას ვერ ამტკიცებს მარტო. იმ მომენტში, როცა ორი ხაზი ერთ წინადადებაში გაერთიანდება, ინტერპრეტაციამ უკვე გაიმარჯვა.
ყურადღება მიაქციეთ, რომ ბოლო მოვლენა გამოვლენას ეხება და არა თავდამსხმელს. აღმოჩენის დრო და დაზიანების დრო ჩვეულებრივ საათებით ან კვირებით არის დაშორებული, და ანგარიში, რომელიც მათ აიგივებს, ყველა მკითხველს მოატყუებს, ვინც თქვენ შემდეგ მოვა.
ჩაწერეთ, საიდან მოვიდა თითოეული დროის ნიშანი და არა მხოლოდ რას ამბობს. შემგროვებლის მიღების დრო, მოვლენის დრო და გამოვლენის დრო სამი განსხვავებული რიცხვია, და მათი ჩუმად ერთ სვეტად ნორმალიზება სწორედ ის გზაა, რომლითაც დროის ხაზი იღებს ფორმას, რომელიც მტკიცებულებებს არასდროს ჰქონია.
გააერთიანეთ ჩანაწერები მხოლოდ იქ, სადაც იდენტიფიკატორები ემთხვევა
ჩანაწერების გაერთიანება ჰიპოთეზაა და არა ფორმატირების ნაბიჯი. ანგარიშის სახელი, მინიჭებული VPN მისამართი, სამიზნე ჰოსტი და სესიის იდენტიფიკატორი უნდა ემთხვეოდეს, სანამ ორი სტრიქონი ერთ ამბად იქცევა. საერთო საჯარო მისამართი საკმარისი არ არის, რადგან ის დიზაინით არის საერთო.
| Record source | Join key that must match | What breaks when the key is missing |
|---|---|---|
| File-share or backup record | file path and modification time | impact cannot be ordered against any session |
| Host process record, EDR or audit log | host name and process start time | the process cannot be placed inside a session |
| Session broker or remote-desktop log | session identifier and target host | the session cannot be traced back to a gateway login |
| Gateway authentication log | account name and assigned VPN address | the session cannot be followed past the gateway |
წაიკითხეთ ცხრილი ქვემოდან ზემოთ, როცა შესვლას აკვირდებით, და ზემოდან ქვემოთ, როცა ზემოქმედების მოცულობას განსაზღვრავთ, რადგან ორივე კითხვას საპირისპირო მიმართულება სჭირდება. სადაც იდენტიფიკატორები ნამდვილად ემთხვევა, თქვით ეს და მიუთითეთ ორივე ჩანაწერზე. სადაც არ ემთხვევა, დატოვეთ ნაპრალი თვალსაჩინოდ და ნუ დახურავთ მას ვარაუდით.
აქვე ატყუებს ნაცნობი მომხმარებლის სახელიც. ერთი და იგივე ანგარიში შეიძლება დილით ლეგიტიმურმა მფლობელმა გამოიყენოს, ღამით კი სხვამ, და მხოლოდ ანგარიშის სახელი ვერ გაარჩევს მათ. მიაკუთვნეთ ანგარიში, შემდეგ ცალკე მიაკუთვნეთ პიროვნება, და მხოლოდ მაშინ, როცა რაღაც ამას ამტკიცებს. განხილვისას დაშლილი დროის ხაზების უმეტესობამ სწორედ ეს ნაბიჯი ძალიან სწრაფად გადადგა.
დაკარგული ჟურნალები ნაპრალია და არა უარყოფითი მტკიცებულება
წარუმატებელი პაროლების მოვლენების არარსებობა არ ამტკიცებს, რომ წარმატებული შესვლა ლეგიტიმური იყო. ვალიდური მოპარული სერტიფიკატები წარმოქმნიან წარმატებულ ავთენტიფიკაციის ჩანაწერს და საერთოდ არანაირ წარუმატებლობას, და სწორედ ეს ხდის სერტიფიკატების მოპარვას მიმზიდველს.
ანალოგიურად, დღეს დახურული პორტი რაღაცას ამბობს დღევანდელობაზე. ის არაფერს ამბობს იმაზე, ღია იყო თუ არა ეს სერვისი მაშინ, სუსტი იყო თუ არა მაშინ, ან ატარებდა თუ არა თავდასხმას. ისტორიული კონფიგურაცია და სერვისის მტკიცებულებები ერთადერთი გზაა ამ ნაპრალის დასახურად.
მიუთითეთ ნაპრალი ცხადად ანგარიშში. „ამ ინტერვალისთვის ჩანაწერები არ გვაქვს“ დასაცავი წინადადებაა; „სხვა არაფერი მომხდარა“ ასე არ არის, და ეს თქვენ მოგიხსენებენ. ნაპრალებს მფლობელებიც ჰყავთ: დაასახელეთ სისტემა, რომელსაც ჩანაწერი უნდა შეექმნა, და რატომ არ შექმნა. ეს ხაზი გამოტოვებას გამოსწორების პუნქტად აქცევს.
დაწერეთ დასკვნები იმ დონეზე, რომელსაც მტკიცებულებები ამტკიცებს
კოორდინაცია გაუწიეთ შენარჩუნებას, შეზღუდვას და აღდგენას ინციდენტის მფლობელის მეშვეობით და არა მის გვერდით. CISA-ს ტექნიკური სახელმძღვანელო ხაზს უსვამს შესაბამისი არტეფაქტებისა და ჟურნალების შეგროვებას მანამ, სანამ აღდგენა შეცვლის იმას, რაც ჯერ კიდევ ხელმისაწვდომია, და ეს თანმიმდევრობა ნებისმიერ ცალკეულ ხელსაწყოზე მნიშვნელოვანია.
სავარაუდო ექსპლოიტის ხელახლა გაშვება ცოცხალ აღჭურვილობაზე ნაპრალის დასახურად არ ღირს იმ რისკის ფასად, რომელსაც ის ამატებს. ტესტი, რომელიც აჩვენებს, რომ თავდასხმა შეიძლებოდა ემუშავა, არ არის მტკიცებულება, რომ იმუშავა, და ამ ორ განცხადებას შორის სხვაობა მთელი ეს დისციპლინაა.
დაასრულეთ ოთხი სიით: რა დაფიქსირდა, რა კავშირებს ამტკიცებს ჩანაწერები, რა რჩება ჰიპოთეზად და რომელი ჩანაწერები მიუწვდომელია. „ინციდენტის დროს VPN ანგარიში გამოიყენეს“ მეორე სიაში ხვდება, როცა ჩანაწერები ამას ამტკიცებს. „VPN-მა გამოიწვია გამოსასყიდი პროგრამა“ არსად არ ხვდება, სანამ რაღაც მიზეზობრიობას დაადგენს.